Сырсөздөрдү кандай гана болбосун - почта, онлайн-банкинг, Wi-Fi же ВКонтакте жана Одноклассники эсептеринен бузуу, көп учурда болуп көрбөгөндөй окуя болду. Бул, негизинен, колдонуучулар паролду түзүүдө, сактоодо жана пайдаланууда коопсуздуктун жөнөкөй эрежелерин сактабагандыгы менен байланыштуу. Бирок бул сырсөздөр туура эмес колго түшүшү мүмкүн эмес.
Бул макалада колдонуучунун паролун бузуу үчүн кандай ыкмаларды колдонсоңуз болот жана эмне үчүн сиз мындай чабуулдарга кабылбайсыз. Аягында сиз онлайн режиминдеги кызматтардын тизмесин таба аласыз, ал сиздин паролуңуз бузулгандыгын билүүгө болот. Бул темада экинчи макала да бар (буга чейин), бирок мен окууну учурдагы карап чыгуудан баштоону жана андан кийинкисине өтүүнү сунуш кылам.
Жаңыртуу: төмөнкү материал даяр - Сырсөздөрдүн коопсуздугу жөнүндө, анда сиздин каттоо жазууларыңыздын жана алар үчүн сырсөздөрдүн коопсуздугун кантип жогорулатууга болот.
Сырсөздөрдү талкалоо үчүн кандай ыкмалар колдонулат?
Сырсөздөрдү талкалоо үчүн ар кандай ыкмалардын анчалык кеңири эмес спектри колдонулат. Алардын дээрлик бардыгы белгилүү жана купуя маалыматтын дээрлик ар кандай компромиссине жеке ыкмаларды же алардын айкалыштарын пайдалануу менен жетишүүгө болот.
Көргөзүү
Бүгүнкү күнгө чейин популярдуу электрондук почта кызматтарынын жана социалдык тармактардын сырсөздөрүн "башка жакка буруп" кетүүнүн эң кеңири таралган ыкмасы - фишинг, жана бул ыкма колдонуучулардын өтө көп пайызына туура келет.
Бул ыкманын маңызы сизге тааныш көрүнгөн сайтка (мисалы, Gmail, VK же Odnoklassniki, мисалы) кирүүгө болот, жана ушул себептен же башка себептерден сизден логинди жана паролду киргизүүңүздү талап кылат (бир нерсени киргизүү, ырастоо, аны өзгөртүү ж.б.). Сырсөздү киргизген замат, кол салган адам өзүн табат.
Бул кандайча болот: сиз колдоо кызматынан болжолдуу катты аласыз, ал сиздин каттоо эсебиңизге кирүү керектиги жөнүндө маалымдайт жана шилтеме берип, ошол сайтка киргенде, түпнускасын так көчүрүп алган веб-сайт ачылат. Компьютерге кокусунан керексиз программаларды орноткондон кийин, тутумдун жөндөөлөрү өзгөрүлүп, браузердин даректер тилкесинде сизге керек болгон сайттын дарегин киргизгенде, чындыгында эле ошол жол менен иштелип чыккан фишинг сайтына өтсөңүз болот.
Жогоруда айтканымдай, көптөгөн колдонуучулар буга туш болушат, адатта, бул байкабастыктан улам болот:
- Сиз тигил же бул сайтта өзүңүздүн каттоо эсебиңизге кирүүнү сунуш кылган катты алган учурда, анын чын эле ушул сайттагы почта дарегинен жөнөтүлгөндүгүнө көңүл буруңуз: адатта окшош даректер колдонулат. Мисалы, [email protected] ордуна, [email protected] же ушул сыяктуу нерсе болушу мүмкүн. Бирок, туура дарек баары эле өз ордунда болот деп кепилдик бере бербейт.
- Сырсөзүңүздү бир жерге киргизерден мурун, браузериңиздин даректер тилкесин кылдат карап чыгыңыз. Биринчиден, баргыңыз келген сайт ошол жерде көрсөтүлүшү керек. Бирок, компьютерде кесепеттүү программа болгон учурда, бул жетишсиз. Ошондой эле сиз httpдин ордуна https протоколун жана дарек тилкесиндеги "кулпулоонун" сүрөтүн колдонуп аныктала турган байланыштын шифрленишине көңүл бурушуңуз керек, бул сайтта экениңизди текшере аласыз. Каттоо эсебине кирүүнү талап кылган бардык олуттуу ресурстар шифрлөөнү талап кылат.
Баса, бул жерде фишинг чабуулдары жана сырсөздү ачуу ыкмалары (төмөндө сүрөттөлгөн) бүгүнкү күндө бир адамдын оор жана оор жумушун билдирбейт (башкача айтканда, ага миллион сырсөздү кол менен киргизүүнүн кереги жок) - мунун бардыгын атайын программалар тез жана чоң көлөмдө жасашат. , жана андан кийин кол салганга ийгилик жөнүндө кабарлаңыз. Анын үстүнө, бул программалар хакердин компьютеринде иштебей, тескерисинче, жашыруун түрдө сиздикинде жана башка миңдеген колдонуучуларда болушу мүмкүн, бул кээде атакалардын натыйжалуулугун жогорулатат.
Сырсөз дал келүү
Сырсөздү билип туруп кол салуу (Brute Force, орус тилиндеги мыкаачылык) дагы көп кездешет. Эгерде бир нече жыл мурун, бул чабуулдардын көпчүлүгү чындыгында белгилүү бир узундуктагы сырсөздөрдү жасоо үчүн белгилүү бир белгилердин бардык айкалыштарын санап өткөн болсо, анда азыркы учурда бардыгы бир аз жөнөкөй (хакерлер үчүн).
Акыркы жылдары ачыкка чыккан миллиондогон сырсөздөрдүн талдоосу көрсөткөндөй, алардын жарымынан көбү уникалдуу, ал эми тажрыйбасыз сайттардын пайызы "тажрыйбасыз".
Бул эмнени билдирет? Жалпысынан, хакерге миллиондогон айкалыштарды иреттөө кажети жок: 10-15 миллион паролго ээ базасы бар (болжол менен, бирок чындыкка жакын) жана ушул айкалыштарды гана алмаштырса, ал каалаган сайттагы эсептердин жарымын жарып сала алат.
Белгилүү бир эсепке чабуул жасалган учурда, маалымат базасынан тышкары, жөнөкөй мыкаачылык күчүн колдонсо болот, жана заманбап программалык камсыздоо сизге бул ишти тез арада жасоого мүмкүндүк берет: 8 белгиден турган паролду бир нече күндүн ичинде жарып салса болот (жана эгерде бул белгилер датаны же ысымдарды айкалыштырса) жана даталар, сейрек эмес - мүнөттөр менен).
Көңүл буруңуздар: эгер сиз ар кандай сайттар жана кызматтар үчүн бир эле сырсөздү колдонсоңуз, анда алардын ар биринде сырсөзүңүз жана тийиштүү электрондук почта дарегиңиз бузулса, атайын программалык камсыздоонун жардамы менен жүздөгөн башка сайттарда логин менен паролдин айкалышы сыналат. Мисалы, өткөн жылдын аягында бир нече миллион Gmail жана Yandex сырсөздөрү жайылып кеткенден кийин, Origin, Steam, Battle.net жана Uplay эсептерин хакердик толкуну басып кетти (менин оюмча, жана башка көптөгөн адамдар, алар жөн гана көрсөтүлгөн оюн кызматтары боюнча мага кайрылышкан).
Сайттарды бузуу жана сырсөз хэштерди алуу
Көпчүлүк олуттуу сайттар сиздин сырсөзүңүздү сиз билген формага киргизишпейт. Маалыматтар базасында таштанды гана сакталат - бул кайтарылбай турган функцияны колдонуунун натыйжасы (башкача айтканда, сиз паролуңузду ушул натыйжадан ала албайсыз). Сайтка киргениңизде, таштанды кайра эсептелген жана эгерде ал маалымат базасында сакталса, анда сиз паролду туура киргиздиңиз.
Сиз божомолдоп көрсөңүз, бул коопсуздук үчүн гана сырлар эмес, таштандылар сакталат - ошондуктан потенциалдуу хакер жана чабуулчу маалымат базасына ээ болуп калса, ал маалыматты колдоно албай жана сырсөздөрдү таба алган жок.
Бирок, көп учурда ал муну жасай алат:
- Таштанды эсептөө үчүн белгилүү бир алгоритмдер колдонулат, көпчүлүгү белгилүү жана кеңири таралган (башкача айтканда, аларды бардыгы колдоно алышат).
- Миллиондогон пароль менен маалымат базасына ээ болгондо (чабуул жасоочу пункттан баштап), алгоритмдердин жардамы менен эсептелген ушул сырсөздөрдүн таштандыларына кире алат.
- Пайда болгон маалыматтар базасынан жана өздүк маалымат базаңыздан алынган сырсөздөрдүн маалыматтарын салыштыруу менен, сиз кайсы алгоритм колдонулгандыгын аныктап, маалымат базасындагы айрым жазуулардын чыныгы сырсөздөрүн жөнөкөй дал келтирүү аркылуу таба аласыз (баардык уникалдуу эмес). Күч куралдары уникалдуу, бирок кыска сырсөздөрдү табууга жардам берет.
Көрүнүп тургандай, ар кандай кызматтардын маркетингдик билдирүүлөрү, алар сиздин паролдоруңузду өз веб-сайттарында сактабайт, сөзсүз эле анын жайылышынан коргой бербейт.
Spyware (SpyWare)
SpyWare же шпион программасы - компьютериңизге жашыруун орнотулган зыяндуу программалардын кеңири спектри (ошондой эле тыңчы программалары кээ бир керектүү программаларда камтылышы мүмкүн) жана колдонуучу жөнүндө маалыматтарды чогултат.
Башка нерселердин катарында, SpyWare'дин айрым түрлөрү, мисалы, keylogger (баскычтарыңызды баскан программалар) же траффиктин жашыруун анализаторлору колдонуучунун сырсөзүн алуу үчүн колдонулат (колдонулат).
Социалдык инженерия жана сырсөздү калыбына келтирүү маселелери
Википедия айткандай, социалдык инженерия бул адамдын психологиясынын өзгөчөлүктөрүнө негизделген маалыматка жетүү ыкмасы (жогоруда айтылган фишингди камтыйт). Интернетте социалдык инженерияны колдонуунун көптөгөн мисалдарын таба аласыз (мен издеп, окуп чыгууну сунуш кылам - бул кызыктуу), алардын айрымдары өз көрктүүлүгү менен таң калыштуу. Жалпылап айтканда, ыкма купуя маалыматка жетүү үчүн керектүү болгон бардык маалыматтарды адамдын алсыздыгын эске алуу менен алууга болот.
Мен паролдорго байланыштуу жөнөкөй жана өзгөчө жарашыктуу үй чарбасын гана көрсөтөм. Сиз билгендей, көптөгөн сайттарда сырсөзүңүздү калыбына келтирүү үчүн, коопсуздук суроосуна жооп берүү жетиштүү: сиз кайсы мектепке бардыңыз, апанын кызынын аты, үй жаныбарынын лакап аты ... Бул маалыматты коомдук тармактарда коомдук доменде жарыялап көрбөсөңүз дагы, бул кыйын. бир эле социалдык тармактарды колдонуп, сиз менен таанышып, же атайын жолугушуп, мындай маалыматты эч тоскоолдуксуз аламбы?
Сырсөзүңүз бузулганын кантип билсе болот
Макаланын аягында, сиздин электрондук почтанын дарегин же логинди текшерүү менен хакерлер кире алган сырсөздөрдүн маалымат базасы менен сырсөзүңүз бузулгандыгын билүүгө жардам берген бир нече кызмат бар. (Мени таң калтырат, алардын арасында орус тилиндеги кызматтардын маалымат базалары өтө эле көп).
- //haveibeenpwned.com/
- //breachalarm.com/
- //pwnedlist.com/query
Эскертүүңүздү белгилүү хакерлердин тизмесинен таптыңызбы? Сырсөздү өзгөртүү керек, бирок мен жакынкы күндөрү жазуучу сырсөздөргө байланыштуу коопсуз иш-аракеттер жөнүндө кененирээк айтып берем.
