2. modulis · 2.5
Noplūdis? Pārbaude un sakārtošana
2. modulis: Paroles un pieteikšanās · Lasīšanas laiks: 10 minūtes
Mērķis: Pēc šīs nodarbības Jūs varēsiet pats pārbaudīt, vai Jūsu dati ir nonākuši kādā noplūdē, pareizā secībā reaģēt uz noplūdi un atgūt un sakārtot pārņemtu kontu.
Pamatjēdzieni: Have I Been Pwned, k-anonimitāte, paziņojumi par noplūdēm, sesiju atsaukšana, sesijas sīkdatne, atjaunošanas dati, pārsūtīšanas noteikumi
Kā Jūs uzzināsiet, ka kaut kas ir noplūdis
Bieži vien Jūs to neuzzināsiet. Noplūdusi parole var mēnešiem ilgi atrasties kombinētā sarakstā, pirms kāds to mēģina izmantot. Tāpēc pievērsiet uzmanību šādām pazīmēm:
- Pakalpojums nosūta vēstuli, ka ir noticis datu aizsardzības pārkāpums. Vispirms pārbaudiet, vai šī vēstule ir īsta (modulis 3): dodieties uz vietni pats, nevis klikšķiniet uz saites.
- Jūs saņemat pieteikšanās kodu vai apstiprinājuma paziņojumu, kuru Jūs pats neesat pieprasījis (nodarbība 2.3).
- Jūs redzat paziņojumu "jauna pieteikšanās no nezināmas ierīces".
- Klienti vai kolēģi saņem dīvainas vēstules "no Jums", vai arī Jums pietrūkst vēstule, kas gan ir nosūtīta.
- Jūsu paroļu pārvaldnieks brīdina, ka kāda parole ir atrodama noplūdē.
- Jūs pēkšņi vairs nevarat pieteikties, vai arī Jūsu atjaunošanas dati ir mainīti.
Pašpārbaude ar Have I Been Pwned
Have I Been Pwned (haveibeenpwned.com) ir pazīstams, bezmaksas pakalpojums, kas apkopo datus no publiski zināmiem datu aizsardzības pārkāpumiem. Jūs varat tur pats meklēt pēc sava e-pasta adreses. Tad Jūs redzēsiet, kurās noplūdēs šī adrese parādās un kāda veida dati tur bija iekļauti: tikai e-pasta adreses, vai arī paroles, vārdi, tālruņu numuri vai adreses. Ar funkciju "Notify me" Jūs saņemsiet vēstuli, ja Jūsu adrese parādīsies jaunā noplūdē.
Dariet to pats, pakalpojuma vietnē. Šajā kursā mēs nekad neprasām Jums kaut kur ievadīt savu e-pasta adresi vai paroli.
Ir arī sadaļa Pwned Passwords, ar kuras palīdzību paroļu pārvaldnieki un tīmekļa vietnes pārbauda, vai parole jebkad ir noplūdusi. Tas darbojas ar k-anonimitāti: Jūsu parole Jūsu pašu ierīcē tiek pārveidota par jaucējvērtību (hash, sava veida pirkstu nospiedumu), un pakalpojumam tiek nosūtīti tikai tās pirmie 5 simboli. Pakalpojums atsūta atpakaļ visas zināmās jaucējvērtības, kas sākas ar šiem 5 simboliem, un Jūsu pašu ierīce pārbauda, vai starp tām ir Jūsu pilnā jaucējvērtība. Tātad pakalpojums nekad neredz Jūsu paroli un pat nezina, kura no simtiem atsūtīto jaucējvērtību ir Jūsējā.
Divas piebildes:
- Ja adreses nav sarakstā, tas nenozīmē, ka tā ir droša. Noplūde, kas (vēl) nav zināma, tur nebūs atrodama. Infostealeri (nodarbība 1.4) zog arī paroles, kuras nekad nenonāk publiskotā noplūdē.
- Ja adrese ir sarakstā, tas nenozīmē, ka viss ir zaudēts. Apskatiet, kādi dati noplūda un kad. Parole, kuru Jūs vairs gadiem neesat lietojis, nav problēma; parole, kuru Jūs vēl joprojām lietojat visur, gan ir.
Ko darīt vispirms pēc noplūdes
Secībai ir nozīme. Svarīgākais noteikums: vispirms Jūsu pasta kaste, jo ar Jūsu pasta kasti uzbrucējs, izmantojot "aizmirstu paroli", var pārņemt gandrīz visus Jūsu pārējos kontus.
| Solis | Kas | Kāpēc |
|---|---|---|
| 1 | Strādājiet no tīras ierīces, ja Jūs aizdomājaties par ļaunprogrammatūru | Infostealer Jūsu klēpjdatorā nozags arī Jūsu jauno paroli |
| 2 | Nomainiet pasta kastes paroli | Atslēga uz visām "aizmirsu paroli" saitēm |
| 3 | Atsauciet visas sesijas (izrakstieties visur) | Pretējā gadījumā uzbrucējs, kas jau ir iekšā, tur arī paliks |
| 4 | Pārbaudiet divu faktoru autentifikāciju (2FA): vai tā ir ieslēgta un vai nav pievienota nezināma ierīce vai numurs? | Uzbrucējs dažkārt pievieno savu tālruni |
| 5 | Pārbaudiet atjaunošanas datus: atjaunošanas e-pasta adresi un tālruņa numuru | Citādi uzbrucējs vēlāk vienkārši atgūs kontu atpakaļ |
| 6 | Pārbaudiet pārsūtīšanas noteikumus, filtrus un lietotņu paroles | Tās ir aizmugures durvis, kas turpina darboties arī pēc paroles maiņas |
| 7 | Izdariet to pašu katrā kontā, kur Jūs izmantojāt to pašu paroli | Credential stuffing: viņi mēģinās arī tur |
| 8 | Informējiet kontaktpersonas, ka no Jūsu vārda, iespējams, tika sūtīta viltota vēstule, un pārbaudiet, vai tas ir datu aizsardzības pārkāpums, kas jāpaziņo | Nodarbības 3.5 un 8.2 |
Kāpēc atsaukt sesijas
Kad Jūs piesakāties, Jūsu pārlūkprogramma saņem sesijas sīkdatni: sava veida pagaidu piekļuves apliecinājumu, lai Jums nevajadzētu ik ar katru klikšķi pieteikties no jauna. Kam pieder šī sīkdatne, tas ir pieteicies. Bez paroles un bez otrā soļa.
Tieši to zog infostealeri: ne tikai Jūsu paroles, bet arī Jūsu sīkdatnes. Un uzbrucējam, kas ir pieteicies ar Jūsu paroli, arī ir sesija. Ja Jūs nomaināt tikai paroli, dažos pakalpojumos šī sesija turpina darboties kā parasti.
Tāpēc pēc noplūdes vai dīvainas pieteikšanās katrā svarīgā pakalpojumā apskatiet aktīvo sesiju vai ierīču pārskatu un izrakstiet visu, ko neatpazīstat, vai visu, izņemot ierīci, kurā šobrīd strādājat. Daudzos pakalpojumos jauna parole izraksta Jūs arī visur citur; tomēr pārbaudiet to.
Pārsūtīšanas noteikums kā aizmugures durvis
Gadījums, kā tas bieži notiek. Konditorejas Example grāmatvede noklikšķina uz pikšķerēšanas vēstules un ievada savu pasta paroli. Uzbrucējs piesakās kontā factuur@example.com un izdara trīs lietas:
- Viņš izveido noteikumu: katra vēstule ar "rēķins", "maksājums" vai "IBAN" tēmā tiek pārsūtīta uz ārēju adresi domēnā
leverancier-administratie.exampleun pēc tam pārvietota uz atkritni. - Viņš iestata savu tālruņa numuru kā atjaunošanas numuru.
- Viņš atkal izrakstās.
Grāmatvede pamana, ka kaut kas nav kārtībā, un nomaina paroli. Atrisināts, viņa domā. Taču noteikums turpina darboties. Uzbrucējs vēl nedēļām ilgi lasa līdzi katru rēķinu, un kādu dienu klients saņem "pielāgotu" rēķinu ar citu IBAN (nodarbība 1.2). Izmantojot atjaunošanas numuru, viņš var arī atgūt kontu atpakaļ.
Tāpēc pasta kastē vienmēr pārbaudiet:
- noteikumus un filtrus: īpaši noteikumus, kas pārsūta vai dzēš vēstules;
- pārsūtīšanu pasta kastes iestatījumos un Jūsu mitināšanas panelī;
- automātiskās atbildes, kuras Jūs pats neesat izveidojis;
- lietotņu paroles un saistītās lietotnes: dzēsiet to, ko neatpazīstat;
- atjaunošanas datus un ierīču sarakstu pie divu faktoru autentifikācijas.
Ja konts tiešām ir pārņemts
Ja vairs nevarat tikt iekšā, izmantojiet tikai pakalpojuma oficiālo atjaunošanas procedūru. Jūs to atradīsiet, dodoties uz vietni pats, nevis izmantojot saiti no vēstules vai meklēšanas reklāmas. Uzmanieties no "atjaunošanas palīdzības", kas Jūs pats meklējat sociālajos tīklos vai kas sazinās ar Jums: bieži vien tie ir krāpnieki, kas vēlas Jūs skart otrreiz.
Pēc tam:
- izpildiet iepriekš minētās tabulas 3. līdz 8. soli;
- izveidojiet jaunus atjaunošanas kodus un ieslēdziet spēcīgāku otro soli (nodarbības 2.3 un 2.4);
- ziņojiet par krāpniecisko e-pastu CERT.LV (https://cert.lv/) un, ja radies zaudējums, iesniedziet iesniegumu Valsts policijā (https://www.vp.gov.lv/);
- pierakstiet, kas notika un kad. Ja tika skarti klientu dati, tas var būt datu aizsardzības pārkāpums (nodarbība 8.2).
Praksē: tā tas izskatās
WebOké vidē Mans WebOké sadaļā Pieteikšanās dati Jūs redzēsiet karti Aktīvās sesijas, kurā katrai sesijai norādīta pārlūkprogramma, sistēma, IP adrese un kopš kura laika tā pastāv. Jūs varat izrakstīt vienu sesiju vai izrakstīties visur, izņemot ierīci, kurā šobrīd strādājat. Nextcloud sadaļā Security atrodams pārskats Apparaten & sessies (ierīces un sesijas), kur Jūs varat arī atsaukt ierīci vai to attālināti dzēst. Pasta kastes pārsūtīšanu un filtrus Jūs atradīsiet mitināšanas panelī un tīmekļa pastā. Citiem pakalpojumu sniedzējiem tas darbojas līdzīgi: meklējiet "sesijas", "ierīces", "drošība" vai "nesenā darbība".
Kopsavilkums
- Pārbaudiet pats vietnē haveibeenpwned.com, vai Jūsu e-pasta adrese ir atrodama kādā zināmā noplūdē; Pwned Passwords darbojas ar k-anonimitāti (tiek nosūtīti tikai jaucējvērtības pirmie 5 simboli).
- Ja adreses nav sarakstā, tas nav tas pats, kas droša.
- Pēc noplūdes: vispirms Jūsu pasta kaste, tad sesiju atsaukšana, divu faktoru autentifikācijas un atjaunošanas datu pārbaude.
- Paroles maiņa nenoņem pārsūtīšanas noteikumus, lietotņu paroles vai nozagtas sesijas.
- Pārņemtu kontu atjaunojiet tikai, izmantojot pakalpojuma oficiālo ceļu.
Tests
Uzdevums
Uzdevums D2.5: Jūsu pašu noplūdes pārbaude un sakārtošanas raunds. Pārbaudiet pats vietnē haveibeenpwned.com savas uzņēmuma e-pasta adreses un ieslēdziet "Notify me". Apskatiet savā pasta kastē un svarīgākajos kontos aktīvās sesijas, pārsūtīšanas noteikumus, lietotņu paroles un atjaunošanas datus, un sakārtojiet to, ko neatpazīstat. Atzīmējiet kontrolsarakstu un atbildiet uz pārdomu jautājumiem. Kursā Jūs neievadāt nevienu e-pasta adresi vai paroli.
Uzdevums D2.5: Jūsu pašu noplūdes pārbaude un sakārtošanas raunds
Rīkojieties šādi: (1) Pārbaudiet haveibeenpwned.com Jūsu uzņēmuma e-pasta adreses (piemēram, info@ un rekini@ no Jūsu domēna). Pierakstiet sev, kuros noplūdēs tās figurē un kādi dati tajās bija iekļauti. (2) Ieslēdziet šīm adresēm "Notify me". (3) Nomainiet paroles, kas bijušas noplūdē un joprojām tiek lietotas, kā arī ikvienu paroli, ko izmantojāt vairākās vietās. (4) Pārbaudiet savā pastkastē un trīs citos svarīgākajos kontos aktīvās sesijas vai ierīces, un izrakstieties no tām, ko neatpazīstat. (5) Pārbaudiet savā pastkastē noteikumus, filtrus, pārsūtīšanu (gan tīmekļa pastā, gan mitināšanas panelī), automātiskās atbildes, lietotņu paroles un piesaistītās lietotnes. (6) Pārbaudiet atkopšanas datus (atkopšanas e-pasta adresi, tālruņa numuru) un ierīces, kas piesaistītas divu faktoru autentifikācijai.
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Lasiet vairāk
Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.
- WebOké rokasgrāmata 3.6: Aktīvo sesiju apskate un iziešana
- Nextcloud rokasgrāmata 3.6: Ierīces un sesijas apskatīt, atsaukt vai attālināti dzēst
- DirectAdmin rokasgrāmata 3.7: Drošas paroles un kas jādara, ja parole ir noplūdusi
- Nextcloud pieteikšanās neizdodas: parole, kods vai ierobežošana
- E-pasta kastīte pārņemta vai surogātpasts tiek sūtīts no Jūsu adreses: šādi sakārtojiet situāciju
- Have I Been Pwned (pašu meklēšana pēc e-pasta adreses): https://haveibeenpwned.com
- Have I Been Pwned, Pwned Passwords (angļu valodā, k-anonimitātes skaidrojums): https://haveibeenpwned.com/Passwords
- Ziņošana par krāpšanu un pikšķerēšanu: CERT.LV (https://cert.lv/) un Valsts policija (https://www.vp.gov.lv/)