🗯️ 🍫 🙉 प्रदाता ग्राहक सुरक्षा के बारे में कैसे परवाह करते हैं 🗽 👩🏼‍🔬 ♉️

हैलो। ऐसा लगता है कि आधुनिक दुनिया में काफी स्पष्ट (यहां तक कि औसत व्यक्ति के लिए सीधे आईटी से संबंधित नहीं हैं) अवधारणाएं हैं। उदाहरण के लिए, डेस्कटॉप पर txt में प्लेनटेक्स्ट में पासवर्ड स्टोर करना बुरा है। लेकिन, यूकेन होस्टिंग, दुर्भाग्य से, केवल जनवरी 2020 में इसे महसूस किया गया। मैं एक लिंक नहीं छोड़ता हूं, ताकि नियमों को तोड़ना न हो, लेकिन जल्दी से Google। लेकिन अन्य प्रदाताओं के बारे में क्या? उदाहरण के लिए, इंटरनेट प्रदाताओं के साथ। मैंने एक छोटा सा प्रयोग करने का फैसला किया, और इसे आपके साथ साझा किया। मैं तुरंत कहूंगा: मेरा कोई दुर्भावनापूर्ण इरादा नहीं था, जैसे किसी को नुकसान पहुंचाने का कोई उद्देश्य नहीं था। लेकिन लोगों को यह बताने का लक्ष्य है कि यह उपयोगकर्ता डेटा और व्यक्तिगत खातों के इलाज के लिए अधिक जिम्मेदार है, खासकर यदि उनके पास सेटिंग्स को स्वतंत्र रूप से बदलने की क्षमता है। शायद अगर इस स्थिति को सार्वजनिक किया जाता है, तो कुछ बदल जाएगा। या शायद नहीं।कौन जानता है ... मैं अभी भी कोशिश करूँगा।

प्रस्तावना

एक दोस्त के कार्यालय में बैठे देखा कि कैसे वह रिश्तेदारों को इंटरनेट के लिए भुगतान करता है। वह अपने व्यक्तिगत खाते में जाता है, बिल का भुगतान कार्ड से करता है। यह कुछ भी असामान्य नहीं लगेगा। सिवाय इसके कि अनुबंध संख्या दर्ज करते समय वह इस नंबर का उपयोग लॉगिन और पासवर्ड दोनों के रूप में करता है। मैंने तुरंत उनसे इस बारे में पूछा, और पासवर्ड बदलने की सिफारिश की, जो उन्होंने तुरंत किया। मैंने तुरंत सोचा। व्यक्तिगत डेटा को सुरक्षित रखना उपयोगकर्ता की एकमात्र जिम्मेदारी है। लेकिन वह अकेला नहीं है। निश्चित रूप से इस प्रदाता के उपयोगकर्ताओं की एक बड़ी संख्या में से ऐसे लोग हैं जो पासवर्ड नहीं बदलते हैं। इसके अलावा, अगर ये बुजुर्ग लोग हैं, तो वे उसके बारे में भी नहीं जानते होंगे। वे नकद में टर्मिनल के माध्यम से इंटरनेट के लिए भुगतान करने के लिए जाते हैं, और वे इस बार बिना किसी सुरक्षा के अपने व्यक्तिगत खाते का उपयोग कर रहे हैं। शायद प्रदाता किसी तरह इस समस्या को हल करता है? यह इसकी जाँच के लायक है

कार्य

मैंने एक मित्र से अनुबंध संख्या पूछी। इसके आधार पर, मैंने पहली बार मैन्युअल रूप से संख्या में 1 जोड़कर उपयोगकर्ता खातों में लॉग इन करने की कोशिश की। सफलता: 20/20 यदि खाता मौजूद है और आपके व्यक्तिगत खाते में प्रवेश करने में कामयाब है, तो हम सफल प्रयास मानते हैं। यहां स्क्रीनशॉट के उदाहरण हैं (उपयोगकर्ता व्यक्तिगत डेटा छिपा हुआ है)।

टिकट सूची:

दूसरे खाते से अभी भी जुड़ी हुई सेवाएं:

मुझे दुख हुआ। शायद यह इसलिए है क्योंकि मैं उसी प्रदाता के पते का उपयोग करता हूं? शायद अगर मैं किसी अन्य प्रदाता के नेटवर्क से जुड़ता हूं तो वे मुझे अपने व्यक्तिगत खाते में नहीं जाने देंगे? जल्दी से दूसरे देश में वीपीएन सेट करें, मूल संख्या से घटने की दिशा में। सफलता: 9/10 एक भी खाता मौजूद नहीं है।

इसके बाद, मैंने एक सरल कार्यक्रम लिखा है कि:

मौजूद होने पर आपके खाते में लॉग इन करता है;
यदि खाता मौजूद नहीं है - डेटाबेस में संबंधित चिह्न छोड़ देता है;
डेटाबेस मेल आईडी, फोन नंबर और जुड़े सेवाओं को बचाता है;
प्रति मिनट देरी करता है;
अगले उपयोगकर्ता के लिए आय।

विश्लेषण

प्रयोग की सफलता: 82/100। 18 असफल प्रयासों में से - 11 गैर-मौजूद खाते या बिना जुड़े सेवाओं के खाते, 7 मानक गैर-मानक पासवर्ड वाले खाते।

इस स्तर पर भी मैंने जो देखा, उसके आधार पर हम निम्नलिखित निष्कर्ष निकाल सकते हैं:

82% नमूने लॉगिन और पासवर्ड के रूप में एक ही वर्ण सेट का उपयोग करते हैं, जो संयोजन में अनुबंध संख्या है;
लॉगिन फ़ॉर्म बस्ट खाते से सुरक्षित नहीं है। मैंने कुल 100 प्रयासों के साथ एक ही आईपी से 82 विभिन्न खातों में प्रवेश किया;
आपका व्यक्तिगत खाता किसी अन्य नेटवर्क से प्रवेश करने के प्रयासों से सुरक्षित नहीं है;
लॉगिन फॉर्म में रोबोट के खिलाफ कोई सुरक्षा नहीं है।

प्राप्त आंकड़ों के साथ क्या किया जा सकता है? हमारे पास एक ग्राहक फोन नंबर और कनेक्टेड सेवाओं की एक सूची है। यदि हम एक प्रतियोगी प्रदाता हैं, और हमें किसी तरह ऐसा डेटा मिला है, तो हम प्राप्त संख्याओं को कॉल कर सकते हैं और अधिक अनुकूल परिस्थितियों की पेशकश कर सकते हैं। यदि नहीं, तो हमारे पास सिद्धांत रूप में कॉल करने के लिए टेलीफोन नंबरों का एक डेटाबेस है। हम जो कुछ भी बेचते हैं / विज्ञापन / प्रस्ताव देते हैं। यदि हम दुष्ट जोकर हैं (अच्छी तरह से, या कानून के उल्लंघनकर्ता) - हम पासवर्ड बदल सकते हैं, विज़ार्ड को कॉल कर सकते हैं या सेवा को अक्षम कर सकते हैं। और यह बहुत ही बिना सोचे-विचारे सिर्फ ऑफहैंड है। किसी भी स्थिति में, इस स्थिति का उपयोग या तो व्यक्तिगत लाभ के लिए या उपयोगकर्ताओं को नुकसान पहुंचाने के लिए किया जा सकता है।

अंतभाषण

मैंने, एक सभ्य व्यक्ति के रूप में, आधार को हटा दिया। कोड, निष्पादन योग्य फाइलें और वीपीएन वाला सर्वर भी। पाठक को प्राप्त जानकारी के साथ क्या करना चाहिए यह पाठक को तय करना है, यह उसकी अंतरात्मा की आवाज पर होगा। किसी भी स्थिति में मैं इस प्रयोग को दोहराने का आग्रह नहीं करता हूं, और किसी भी तरह से डेटा का उपयोग करता हूं। इसके अलावा, मैं सभी प्रदाताओं से आग्रह करता हूं कि वे अपने ग्राहकों और उनके डेटा का पूरी जिम्मेदारी के साथ इलाज करें।

सामान्य तौर पर, कमोन। इस प्रदाता के पास ग्राहकों का आधा देश है, और यह पासवर्ड के रूप में डिफ़ॉल्ट अनुबंध संख्याओं का उपयोग करता है। डिफ़ॉल्ट रूप से जटिल पासवर्ड का उपयोग करें, इनपुट पर कैप्चा को स्क्रू करें, ब्रूट फोर्स के लिए प्रारंभिक जांच करें, क्लाइंट के अलावा सभी आईपी से अनुबंध संख्या द्वारा प्रवेश पर प्रतिबंध लगाएं, क्या यह वास्तव में मुश्किल है?

और मैं पाठकों को अपने व्यक्तिगत खाते और उनके प्रदाता की जांच करने की सलाह देता हूं। किसी भी मामले में, यह मत भूलो कि उपयोगकर्ता को स्वयं अपने व्यक्तिगत डेटा की सुरक्षा का ध्यान रखना चाहिए, किसी और पर भरोसा न करें।

UPD 03/20/2020
उपरोक्त प्रदाता ने उपाय किए (कम से कम कुछ)। अभी भी कोई कैप्चा नहीं है, मैंने अन्य नेटवर्क से लॉग इन करने की क्षमता की जांच नहीं की है, लेकिन मैं अब मानक पासवर्ड तक नहीं पहुंच सकता। वह कहते हैं कि पासवर्ड पर्याप्त मजबूत नहीं है, और फोन के माध्यम से लॉग इन करने की पेशकश करता है (एसएमएस कोड द्वारा पुष्टि)।

खैर, इसके लिए धन्यवाद (वास्तव में धन्यवाद, व्यंग्य नहीं)।

प्रदाता ग्राहक सुरक्षा के बारे में कैसे परवाह करते हैं

प्रस्तावना

कार्य

विश्लेषण

अंतभाषण

More articles: