सुरक्षा सप्ताह 23: LiveJournal पासवर्ड लीक

बुधवार, 27 मई को, उपयोगकर्ता पासवर्ड लीक को ट्रैक करने वाली हैवीबिनप्वेड सेवा में लाइवजर्नल सेवा के लिए उपयोगकर्ता लॉगिन और पासवर्ड का एक डेटाबेस है। कथित तौर पर 2014 में डेटा लीक हुआ था।

हालांकि, हैवीबिनप्वेड सेवा के संस्थापक ट्रॉय हंट के अनुसार, बाद में बनाए गए खातों के डेटाबेस में उनकी मौजूदगी के कुछ सबूत मिले। ब्लेपिंग कंप्यूटर वेबसाइट पर प्रकाशित डेटाबेस के एक टुकड़े को देखते हुए , लगभग 30 मिलियन उपयोगकर्ताओं को ईमेल पते, प्रोफाइल के लिंक और सादे पाठ में पासवर्ड तक खुली पहुंच मिली। प्रारंभ में, पासवर्ड को MD5 हैश के रूप में दर्शाया जाना चाहिए था।

लाइवजर्नल पासवर्ड डेटाबेस के रिसाव के बारे में अफवाहें चला गयापिछले साल वापस। यद्यपि ब्लॉग होस्टिंग के प्रतिनिधियों ने हैकिंग की रिपोर्ट नहीं की थी, डेटा की प्रामाणिकता की पुष्टि की गई थी, जिसमें ड्रीमवर्क्स सेवा के मालिक भी शामिल थे । एक समान कोड बेस पर आधारित इस प्लेटफॉर्म का उपयोग अक्सर ब्लॉगों की नकल करने के लिए एक समय में किया जाता था। ड्रीमपॉइंट की तरफ, उन्होंने क्रेडेंशियल स्टफिंग हमलों की संख्या में वृद्धि की पुष्टि की जब कई खाते किसी अन्य सेवा से पासवर्ड के माध्यम से दरार करने की कोशिश करते हैं। ब्लेपिंग कंप्यूटर वेबसाइट पर प्रकाशन पर्याप्त विस्तार से वर्णन करता है कि हमलावर पासवर्ड लीक का उपयोग कैसे करते हैं।

उपयोगकर्ता की ओर से स्थिति को देखने के लिए एक और रिसाव एक अच्छा कारण है। डाइजेस्ट के लेखकों में से एक को ट्रॉय हंट सेवा से एक अधिसूचना मिली। यदि आप लीक डेटाबेस में एक विशिष्ट पासवर्ड है, तो आप जांच कर सकते हैं (यदि आप उस पर भरोसा करते हैं) - एलजे के लिए वर्तमान पासवर्ड इस तरह से नहीं मिला है। सामान्य तौर पर, यदि पिछले कुछ वर्षों में आपने LiveJournal या पासवर्ड डेटाबेस लीक से पीड़ित किसी अन्य सेवा पर अपना पासवर्ड बदल दिया है, तो आप लगभग सुरक्षित हैं।

लगभग क्यों? तथ्य यह है कि पुराना पासवर्ड अन्य सेवाओं के लिए उपयुक्त हो सकता है यदि आपने इसे पुन: उपयोग किया है या यदि आप लंबे समय से भूल गए हैं कि आपने किसी साइट पर पंजीकरण किया है। ड्रीमवॉच के साथ उदाहरण सांकेतिक है: एक समय में इस सेवा पर डायरी बैकअप करने के लिए फैशनेबल था, मुफ्त में और कुछ ही क्लिक में। इस तरह की प्रति, और हमलावरों के बारे में भूलना आसान है, यह पता चला है, इस तक पहुंच प्राप्त कर सकते हैं। लंबे समय से छोड़े गए ब्लॉग जिन्हें बर्बर किया जा सकता है, विशेष रूप से खतरे में हैं। उप-लॉक पोस्ट से व्यक्तिगत जानकारी लीक करना भी एक सुखद परिदृश्य नहीं है।

ब्लीडिंग कंप्यूटर में अन्य हमले के उदाहरणों का उल्लेख है। प्रभावित सेवा पर खातों को हैक करने के अलावा, स्पैम मेलिंग में ब्लैकमेल के लिए पासवर्ड का उपयोग किया जाता है। विशिष्ट परिदृश्य: आपको अपने कंप्यूटर की कथित हैकिंग के बारे में एक संदेश के साथ एक पत्र प्राप्त होता है, लीक के डेटाबेस से पासवर्ड को सबूत के रूप में दिया जाता है। जो उपयोगकर्ता हर चीज के लिए एक ही पासवर्ड का उपयोग करते हैं और इसे कभी नहीं बदलते हैं, वे सबसे अधिक जोखिम में हैं: इस तरह की घटना से व्यक्तिगत डेटा के कुल रिसाव की संभावना बढ़ जाती है, बैंक खाते से धन की चोरी तक।

LiveJournal एकमात्र सेवा नहीं है जिसके उपयोगकर्ता सूचना डेटाबेस साझा किए गए हैं। अलग-अलग समय में, सोशल नेटवर्क की सशर्त श्रेणी में, पासवर्ड 2018 में 500px, 2016 में AdultFriendFinder और Badoo, 2013 में imgur, 2012 में लिंक्डइन और Last.fm सेवाओं से पासवर्ड चुरा लिए गए। Liveourournal में एक लीक को लंबी शटर गति से अलग किया गया: हैक के बाद, 2014 से 2017 की अवधि में, उपयोगकर्ता पासवर्ड मई 2020 तक सार्वजनिक पहुंच में नहीं आए।

यह निश्चित रूप से, काले बाजार पर जानकारी के पुनर्विक्रय को नहीं रोकता है। उपयोगकर्ता की सुरक्षा काफी हद तक डिजिटल सेवा प्रदाताओं पर निर्भर करती है, और यहाँ यह केवल सभी की इच्छा के लिए बनी हुई है, यदि संभव हो तो, स्पष्ट पाठ में पासवर्ड स्टोर करने के लिए नहीं। लेकिन वास्तविकता यह है कि उपयोगकर्ताओं को कार्रवाई करने की आवश्यकता है। कहीं भी तीन साल पहले पासवर्ड का उपयोग करना स्पष्ट रूप से एक अच्छा विचार नहीं है।

और क्या हुआ:
एक दिलचस्प अध्ययनऔद्योगिक उद्यमों पर हमले पर कास्परस्की लैब। प्रकाशन ऐसे हमलों के प्रारंभिक चरण से संबंधित है - पारंपरिक नेटवर्क के बुनियादी ढांचे को भेदने का प्रयास, दूसरों से बहुत अलग नहीं। वर्णित हमले को स्पष्ट रूप से लक्षित किया गया है, दुर्भावनापूर्ण अनुलग्नकों के साथ फ़िशिंग ईमेल (मैक्रोज़ के साथ एक्सएलएस फ़ाइल) और - अप्रत्याशित रूप से - स्टेग्नोग्राफ़ी का उपयोग किया जाता है: स्क्रिप्ट सुरक्षा साधनों को बायपास करने के लिए सार्वजनिक होस्टिंग से छवि को डाउनलोड करता है और मैलवेयर से अगले चरण को डिकोड करता है।

IOS उपकरणों के लिए UnC0ver जेलब्रेक का नवीनतम संस्करण iOS 13.5 पर चलने वाले उपकरणों के साथ भी काम करता है । हैक टूल के लेखकों ने कुछ शून्य-दिन भेद्यता की उपस्थिति का उल्लेख किया है।

रेडवेयर विशेषज्ञों ने एक विश्लेषण कियाबोटनेट होक्सकॉल। नेटवर्क राउटर और अन्य उपकरणों की बड़े पैमाने पर हैकिंग के कई अन्य आपराधिक अभियानों के विपरीत, यह पासवर्ड क्रैकिंग का उपयोग नहीं करता है, लेकिन एम्बेडेड सॉफ़्टवेयर में आम कमजोरियों के लिए शोषण का एक सेट है। एक अन्य बॉटनेट संक्रमित सिस्टम से कमांड सर्वर पर डेटा स्थानांतरित करने के लिए चीनी कंपनी Baidu के वैध टेलीमेट्री संग्रह प्रणाली का उपयोग करता है।

माइक्रोसॉफ्ट के सुरक्षा प्रभाग ने चेतावनी दी है एक रैंसमवेयर Ponyfinal रूप में जाना जाता समूह का। वह कॉर्पोरेट लक्ष्यों में माहिर हैं। हमले की योजना के परिचित उद्देश्य हैं: कमजोर पासवर्ड हैक करना, पीड़ितों का मैनुअल नियंत्रण, एन्क्रिप्शन से पहले डेटा चोरी। उत्तरार्द्ध दो बार फिरौती मांगना संभव बनाता है - जानकारी बहाल करने के लिए और ताकि इसे सार्वजनिक न किया जाए।

वेराकोड ( समाचार , पीडीएफ में स्रोत ) द्वारा एक दिलचस्प अध्ययन । 85 हजार अनुप्रयोगों का विश्लेषण करने के बाद, उनमें से 70% में कुछ स्रोत पाए गए जो पहले खुले स्रोत घटकों में खोजे गए थे। मोबाइल और डेस्कटॉप मास सॉफ्टवेयर के डेवलपर्स विकास के दौरान स्वतंत्र रूप से वितरित कोड का उपयोग करते हैं, लेकिन हमेशा अपने बिल्ड में ज्ञात कमजोरियों को बंद नहीं करते हैं।