Hacking-fjalëkalimet, pa marrë parasysh se cilat janë fjalëkalimet - nga posta, bankingu në internet, Wi-Fi, ose nga llogaritë VKontakte dhe Odnoklassniki, kohët e fundit është bërë një ngjarje e shpeshtë. Kjo është kryesisht për faktin se përdoruesit nuk respektojnë rregulla mjaft të thjeshta të sigurisë kur krijojnë, ruajnë dhe përdorin fjalëkalime. Por kjo nuk është arsyeja e vetme që fjalëkalimet mund të bien në duar të gabuara.
Ky artikull jep informacion të detajuar se cilat metoda mund të përdoren për të goditur fjalëkalimet e përdoruesve dhe pse jeni të prekshëm ndaj sulmeve të tilla. Në fund, do të gjeni një listë të shërbimeve online që do t'ju njoftojnë nëse fjalëkalimi juaj tashmë është komprometuar. Do të ketë (tashmë ka) një artikull të dytë për temën, por unë rekomandoj fillimin e leximit me rishikimin aktual, dhe vetëm atëherë të kaloni në tjetrin.
Përditësimi: materiali i mëposhtëm është gati - Për sigurinë e fjalëkalimit, i cili përshkruan se si të maksimalizoni sigurinë e llogarive tuaja dhe fjalëkalimet për to.
Cilat metoda përdoren për të goditur fjalëkalimet?
Për të goditur fjalëkalimet, përdoret një gamë jo aq e gjerë e teknikave të ndryshme. Pothuajse të gjithë ata janë të njohur dhe pothuajse çdo kompromis i informacionit konfidencial arrihet përmes përdorimit të metodave individuale ose kombinimeve të tyre.
Phishing
Mënyra më e zakonshme që fjalëkalimet e shërbimeve të njohura të postës elektronike dhe "rrjeteve" janë duke u "devijuar" deri më tani është phishing, dhe kjo metodë funksionon për një përqindje shumë të madhe të përdoruesve.
Thelbi i metodës është që ju të gjeni veten në një sit për të cilin mendoni se është i njohur (i njëjti Gmail, VK ose Odnoklassniki, për shembull), dhe për një arsye ose një tjetër ju kërkohet të shkruani emrin e përdoruesit dhe fjalëkalimin tuaj (për të futur, konfirmuar diçka, për ta ndryshuar, etj). Menjëherë pas futjes së fjalëkalimit, sulmuesi e gjen veten.
Si ndodh kjo: ju mund të merrni një letër, gjoja nga shërbimi mbështetës, duke ju informuar për nevojën që të regjistroheni në llogarinë tuaj dhe të keni dhënë një lidhje, kur të shkoni në atë sit është hapur që saktësisht kopjon origjinalin. Shtë e mundur që pasi të keni instaluar aksidentalisht një softuer të padëshiruar në një kompjuter, cilësimet e sistemit ndryshohen në atë mënyrë që kur të futni adresën e faqes që ju nevojitet në shiritin e adresave të shfletuesit, në të vërtetë të shkoni në një sit phishing të krijuar në të njëjtën mënyrë.
Siç e theksova tashmë, shumë përdorues e hasin këtë, dhe zakonisht kjo vjen për shkak të pakujdesisë:
- Kur të merrni një letër që në një formë ose në një tjetër ju fton të regjistroheni në llogarinë tuaj në një sit të veçantë, kushtojini vëmendje nëse është dërguar me të vërtetë nga adresa e postës në këtë sit: zakonisht përdoren adresa të ngjashme. Për shembull, në vend të [email protected], mund të ketë mbë[email protected] ose diçka të ngjashme. Sidoqoftë, adresa e saktë nuk garanton gjithmonë se gjithçka është në rregull.
- Para se të futni fjalëkalimin tuaj diku, shikoni me kujdes shiritin e adresës së shfletuesit tuaj. Para së gjithash, faqja ku dëshironi të shkoni duhet të tregohet atje. Sidoqoftë, në rastin e malware në kompjuter, kjo nuk është e mjaftueshme. Ju gjithashtu duhet t'i kushtoni vëmendje pranisë së kriptimit të lidhjes, e cila mund të përcaktohet duke përdorur protokollin https në vend të http dhe imazhin e "bllokimit" në shiritin e adresave, duke klikuar në të cilën mund të verifikoni se jeni në këtë faqe. Pothuajse të gjitha burimet serioze që kërkojnë një encryption përdorimit të hyrjes së llogarisë.
Nga rruga, unë do të shënoj këtu se sulmet e phishing dhe metodat e thyerjes së fjalëkalimeve (përshkruara më poshtë) nuk nënkuptojnë punën e mundimshme dhe të frikshme të një personi sot (d.m.th., ai nuk ka nevojë të futë një milion fjalëkalime manualisht) - e gjithë kjo bëhet nga programe speciale, shpejt dhe në vëllime të mëdha , dhe pastaj raportoni suksesin sulmuesit. Për më tepër, këto programe mund të mos funksionojnë në kompjuterin e hackerit, por fshehtas në tuajin dhe mijëra përdorues të tjerë, gjë që nganjëherë rrit efektivitetin e hakerimit.
Përputhja me fjalëkalimin
Sulmet duke përdorur hamendësimin e fjalëkalimit (Brute Force, forca brutale në rusisht) janë gjithashtu të zakonshme. Nëse disa vjet më parë, shumica e këtyre sulmeve ishin vërtet regjistrim i të gjitha kombinimeve të një grupi të caktuar personazhesh për të hartuar fjalëkalime të një gjatësi të caktuar, por për momentin gjithçka është disi më e thjeshtë (për hakerat).
Një analizë e miliona fjalëkalimeve të zbuluara gjatë viteve të kaluara tregon se më pak se gjysma e tyre janë unike, ndërsa përqindja e faqeve që janë kryesisht të papërvojë është "e papërvojë".
Whatfarë do të thotë kjo? Në rastin e përgjithshëm, hakeri nuk ka nevojë të rendisë me miliona kombinime të panumërta: duke pasur një bazë të dhënash prej 10-15 milion fjalëkalimesh (një numër të përafërt, por afër së vërtetës) dhe duke zëvendësuar vetëm këto kombinime, ai mund të shkatërrojë pothuajse gjysmën e llogarive në çdo sit.
Në rastin e një sulmi të synuar në një llogari të veçantë, përveç bazës së të dhënave, mund të përdoret forca e thjeshtë brutale, dhe softueri modern ju lejon ta bëni këtë relativisht shpejt: një fjalëkalim prej 8 karakteresh mund të plashet brenda disa ditësh (dhe nëse këto karaktere përfaqësojnë një datë ose një kombinim të emrave dhe datat, të cilat nuk janë të rralla - në minuta).
Ju lutemi vini re: nëse përdorni të njëjtin fjalëkalim për site dhe shërbime të ndryshme, atëherë posa të keni kompromentuar fjalëkalimin tuaj dhe adresën përkatëse të postës elektronike në cilindo prej tyre, duke përdorur programin special, do të testohet i njëjti kombinim i hyrjes dhe fjalëkalimit në qindra faqe të tjera. Për shembull, menjëherë pas rrjedhjes së disa milion fjalëkalimeve të Gmail dhe Yandex në fund të vitit të kaluar, u përfshiu një valë hakerimi e llogarive të Origin, Steam, Battle.net dhe Uplay (mendoj, dhe shumë të tjerë, ata thjesht më kontaktuan me shërbimet e specifikuara të lojës).
Hacking faqet dhe marrja e telasheve me fjalëkalim
Shumica e faqeve serioze nuk e ruajnë fjalëkalimin tuaj në formën në të cilën ju e dini atë. Vetëm një hash është ruajtur në bazën e të dhënave - rezultati i aplikimit të një funksioni të pakthyeshëm (d.m.th., nuk mund të marrësh përsëri fjalëkalimin tënd nga ky rezultat) te fjalëkalimi. Kur futeni në sit, hash është rillogaritur dhe, nëse përputhet me atë që ruhet në bazën e të dhënave, atëherë e keni futur fjalëkalimin në mënyrë korrekte.
Siç mund ta merrni me mend, janë hashe që janë ruajtur, dhe jo vetë fjalëkalimet, thjesht për arsye sigurie - në mënyrë që me një hak të mundshëm dhe një sulmues të marrë bazën e të dhënave, ai nuk mund të përdorë informacionin dhe të zbulojë fjalëkalimet.
Sidoqoftë, mjaft shpesh, ai mund ta bëjë këtë:
- Për të llogaritur hash, përdoren disa algoritme, për pjesën më të madhe - të njohura dhe të zakonshme (domethënë, të gjithë mund t'i përdorin ato).
- Duke pasur baza të të dhënave me miliona fjalëkalime (nga pika brutale e forcës), sulmuesi gjithashtu ka qasje në hash-et e këtyre fjalëkalimeve të llogaritura duke përdorur të gjithë algoritmet në dispozicion.
- Duke krahasuar informacionin nga baza e të dhënave që rezulton dhe hash fjalëkalimi nga baza e të dhënave të tua, mund të përcaktosh se cili algoritëm është përdorur dhe të gjesh fjalëkalimet e vërteta për disa nga hyrjet në bazën e të dhënave duke përputhur thjeshtë (për të gjithë jo-unike). Dhe mjetet e kërkimit do t'ju ndihmojnë të zbuloni pjesën tjetër të fjalëkalimeve unike, por të shkurtra.
Siç mund ta shihni, deklaratat e marketingut të shërbimeve të ndryshme që ata nuk i ruajnë fjalëkalimet tuaja në faqen e tyre të internetit nuk ju mbrojnë domosdoshmërisht nga rrjedhjet e tij.
Spyware (SpyWare)
SpyWare ose Spyware - një gamë e gjerë e programeve me qëllim të keq që instalojnë fshehurazi në kompjuterin tuaj (gjithashtu funksionet spyware mund të përfshihen në disa softuer të nevojshëm) dhe mbledh informacione rreth përdoruesit.
Ndër të tjera, disa lloje të SpyWare, për shembull, keyloggers (programet që ndjekin tastet tuaja) ose analistët e fshehur të trafikut, mund të përdoren (dhe përdoren) për të marrë fjalëkalimet e përdoruesve.
Engineeringështjet e Inxhinierisë Sociale dhe Rimëkëmbjes së Fjalëkalimit
Siç na tregon Wikipedia, inxhinieria sociale është një metodë e qasjes në informacione bazuar në karakteristikat e psikologjisë njerëzore (kjo përfshin phishing të përmendura më lart). Në internet mund të gjeni shumë shembuj të përdorimit të inxhinierisë sociale (rekomandoj të kërkoni dhe lexoni - kjo është interesante), disa prej të cilave janë mahnitëse në elegancën e tyre. Në terma të përgjithshëm, metoda mbështetet në faktin se pothuajse çdo informacion i nevojshëm për të hyrë në informacion konfidencial mund të merret duke përdorur dobësitë njerëzore.
Dhe do të jap vetëm një shembull shtëpiak të thjeshtë dhe jo veçanërisht elegant, në lidhje me fjalëkalimet. Siç e dini, në shumë site, për të rikuperuar fjalëkalimin tuaj, është e mjaftueshme të vendosni përgjigjen e pyetjes së sigurisë: në cilën shkollë keni shkuar, emrin e vajzave të nënës, pseudonimin e kafshëve shtëpiake ... Edhe nëse nuk e keni postuar tashmë këtë informacion në domenin publik në rrjetet sociale, është e vështirë të mendoni nëse përdorni të njëjtët rrjete sociale, duke qenë të njohur me ju, ose posaçërisht takohen, merrni pa mëshirë informacione të tilla?
Si të zbuloni se fjalëkalimi juaj është plasaritur
Epo, në fund të artikullit, ka disa shërbime që ju bëjnë të ditur nëse fjalëkalimi juaj është hakuar duke kontrolluar adresën tuaj të emailit ose emrin e përdoruesit me një bazë të dhënash të fjalëkalimeve që janë arritur nga hakerat. (Më befason pak që midis tyre ka shumë përqindje të bazave të të dhënave nga shërbimet në gjuhën ruse).
- //haveibeenpwned.com/
- //breachalarm.com/
- //pwnedlist.com/query
E gjetët llogarinë tuaj në listën e hakerave të njohur? Ka kuptim të ndryshosh fjalëkalimin, por në mënyrë më të detajuar në lidhje me praktikat e sigurta në lidhje me fjalëkalimet e llogarisë që do të shkruaj në ditët në vijim.
