read receipts
هیچ‌کس رمز‌عبورت را حدس نزد. فقط دوباره استفاده کردند.
حملهٔ سرقت حساب گیمینگ قدیمی‌ات از رمزی استفاده کرد که قبلاً در جایی مهم‌تر وارد کردی — و شاید اثبات این در پوشهٔ هرزنامه‌ات باشد.
یک ربات در یک مرکز داده‌ای در جایی آدرس ایمیل‌ات را در ۱۳۰ وب‌سایت مختلف امتحان می‌کند و از قبل رمز‌عبور را می‌داند. نه حدس. نه فهرستی از رمزهای رایج. همان رشتهٔ متنی که تایپ کردی — چون یک‌بار دیگر آن را تایپ کردی، جایی که هک‌شد، و مهاجمان شرط بندی می‌کنند تو آنقدر تنبل بودی که دوباره آن را استفاده کنی.
این شرط‌بندی تعداد بسیار زیادی تایید می‌شود. یک نظرسنجی گوگل و هریس‌پل نشان داد که ۶۵ درصد از مردم یک رمز‌عبور را در چندین سایت تکرار می‌کنند، و بخشی از آن‌ها تقریباً در همه‌جا از یک رمز استفاده می‌کنند. احتمالاً این عدد را خوندی و فکر کردی، آها، دیگران. این کل مدل کسب‌وکار است. مهاجم به خصوص روی تو حساب نمی‌کند که غفلت‌کار باشی. آن‌ها حساب می‌کنند ۶۵ درصد یک فهرست سرقت‌شده غفلت‌کار باشند، و آن‌ها فقط به یک بخش کوچک نیاز دارند تا موفق شوند.
این حمله‌ای از نوع credential stuffing است، و نام‌اش کاملاً دقیق است. کسی یک بانک داده از جفت‌های ایمیل و رمز‌عبور نشتی شدهٔ می‌گیرد — Have I Been Pwned اکنون بیش از ۱۴ میلیارد حساب کاربری سازش‌شده را در هزاران نقض امنیتی فهرست می‌کند — و این جفت‌ها را در فرم‌های ورود در سراسر اینترنت «جای پر» می‌کند. بانک‌ها. سرویس‌های استریمینگ. برنامه‌های وفاداری. خود ایمیل‌ات. آن‌ها آن را خودکار می‌کنند، از طریق پروکسی IPهای مختلف عبور می‌دهند تا چیزی مریب به نظر نرسد، و به حجم اعتماد می‌کنند.
و این حجم فوق‌العاده است. Akamai، که در مقابل بخش بزرگی از ترافیک وب قرار دارد، در یک سال واحد ده‌ها میلیارد تلاش credential stuffing را ثبت کرده‌است، و برخی گزارش‌ها بیش از صد میلیارد در سال قابل اندازه‌گیری هستند. یک رمز‌عبور سازش‌شدهٔ یک درِ را باز نمی‌کند. این یک کلید اصلی است که برای هر قفلی در خیابان، سریع، توسط چیزی که هرگز خسته نمی‌شود، امتحان می‌شود.
این‌جا قسمتی است که باید نحوهٔ تفکرت در مورد این را تغییر دهد. صفحهٔ ورود که رمز‌عبور را در آن دوباره استفاده کردی نیازی به هک‌شدن ندارد. سایت ضعیفی که آن را نشتی کرد — یک انجمن از دسترس خارج شدهٔ، یک فروشگاه سال ۲۰۱۴، یک اپلیکیشن بازی سؤال و جواب — کلید را به سایت‌های قوی می‌دهد. بانک‌ات می‌تواند امنیت کامل داشته باشد و حتی بازهم می‌تواند باخت بخورد، چون رمز‌عبوری که آن را محافظت می‌کند از قبل در یک فایل متنی نشسته بود که به قیمت پول‌های کمی فروخته می‌شود، برداشت‌شده از جایی با امنیتی مثل یک درِ تار.
پس چگونه می‌دانی که در یکی از این بانک‌های اطلاعات هستی؟ اغلب اوقات، از قبل آگاه شده‌ای. نه از طریق یک گزارش امنیتی — از طریق پوشهٔ هرزنامهٔ‌ات. آن ایمیل‌های «تلاش ورود غیرمعمول»، «تأیید حساب‌ات»، و «متوجه شدیم ورود از دستگاه جدیدی» که بطور انعکاسی حذف می‌کنی، اغلب آلارم‌های واقعی و مشروع هستند که چون یک ربات از اعتبارات‌ات استفاده کرد و سقف نرخ را فعال کرد، در حال شلیق هستند. اعلان‌های نقض واقعی و هشدارهای ورود واقعی به‌طور مداوم به هرزنامه ریخته می‌شوند، درست کنار آن‌های جعلی که آن‌ها را جعل می‌کنند. سیگنال آن‌جا است. فقط تحت شور و غوغایی مدفون است که طوری طراحی‌شده‌اند که یکسان به نظر برسند.
راه حل یکنواخت و کار می‌کند. رمزهای عبور را دوباره استفاده نکن — یک مدیر رمز‌عبور هر ورودی را یک رشتهٔ تصادفی و منحصربه‌فرد می‌سازد، بنابراین نشتیٔ از یک سایت دقیقاً یک حساب را در مقابل همهٔ آن‌ها سموم می‌کند. احراز هویت دو‌عاملی را روشن کن، که به این معنی است یک رمز‌عبور صحیح سرقت‌شدهٔ هنوز در گام دوم شکست می‌خورد. و در واقع بررسی کن آیا آدرس‌ات در یک نقض امنیتی شناخته‌شدهٔ است؛ Have I Been Pwned این را به‌صورت رایگان به تو می‌گوید، و اکثر مدیران رمز‌عبور اکنون وارودهای دوباره‌استفاده‌شدهٔ و سازش‌شدهٔ را خودکار پرچم‌دار می‌کنند.
حقیقت ناخوشایند این است که سخت‌کوش‌ترین مهاجم که شما را هدف می‌گیرد هکری با هودی نیست. این یک اسکریپت است که یک فهرست را اجرا می‌کند، از یک عادت استفاده می‌کند که تقریباً هرکس آن را دارد و تقریباً هرکس فرض می‌کند که برای آن‌ها صدق نمی‌کند.
@@BODY_ENDS@@منابع
- Have I Been Pwned — Breached account dataset, 14B+ compromised accounts indexed
- Google / Harris Poll — Online security survey on password reuse habits
- Akamai State of the Internet — Credential stuffing attack volume reporting