Date scurse? Verificare și remediere

Modulul 2: Parole și autentificare · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție veți putea verifica singur dacă datele dumneavoastră apar într-o scurgere de date, veți reacționa în ordinea corectă la o astfel de scurgere și veți putea recupera și curăța un cont preluat.

Concepte cheie: Have I Been Pwned, k-anonimitate, notificări privind scurgerile de date, revocarea sesiunilor, cookie de sesiune, date de recuperare, reguli de redirecționare

Cum aflați că ceva a fost scurs

Adesea nu aflați. O parolă scursă poate sta luni de zile într-o listă combinată (combolist) înainte ca cineva să o încerce. De aceea, fiți atent la aceste semnale:

• Un serviciu vă trimite un e-mail că a avut loc o încălcare a securității datelor. Verificați mai întâi dacă acel e-mail este autentic (modul 3): mergeți dumneavoastră înșivă pe site, în loc să dați clic pe link.
• Primiți un cod de autentificare sau o notificare de aprobare pe care nu ați solicitat-o dumneavoastră (lecția 2.3).
• Vedeți o notificare „autentificare nouă de pe un dispozitiv necunoscut”.
• Clienții sau colegii dumneavoastră primesc e-mailuri ciudate „din partea dumneavoastră”, sau vă lipsesc e-mailuri pe care le-ați trimis de fapt.
• Managerul dumneavoastră de parole vă avertizează că o parolă apare într-o scurgere de date.
• Nu mai puteți să vă autentificați dintr-odată, sau datele dumneavoastră de recuperare s-au schimbat.

Verificați singur cu Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) este un serviciu cunoscut și gratuit care colectează date din scurgeri de date cunoscute public. Puteți căuta dumneavoastră înșivă după adresa de e-mail. Veți vedea astfel în ce scurgeri apare adresa și ce tipuri de date au fost implicate: doar adrese de e-mail, sau și parole, nume, numere de telefon sau adrese. Cu funcția „Notify me” primiți un e-mail atunci când adresa dumneavoastră apare într-o scurgere nouă.

Faceți acest lucru chiar pe site-ul serviciului respectiv. În această cursă nu vă cerem niciodată să introduceți adresa de e-mail sau parola nicăieri.

Există și o secțiune Pwned Passwords, cu ajutorul căreia managerii de parole și site-urile web verifică dacă o parolă a fost vreodată scursă. Aceasta funcționează prin k-anonimitate: parola dumneavoastră este transformată, pe propriul dumneavoastră dispozitiv, într-un hash (o amprentă digitală) și doar primele 5 caractere ale acestuia sunt trimise către serviciu. Serviciul trimite înapoi toate hash-urile cunoscute care încep cu acele 5 caractere, iar propriul dumneavoastră dispozitiv verifică dacă hash-ul dumneavoastră complet se află printre ele. Astfel, serviciul nu vede niciodată parola dumneavoastră și nici măcar nu știe care dintre sutele de hash-uri trimise înapoi este al dumneavoastră.

Două observații:

• Faptul că nu apare în listă nu înseamnă că este sigur. O scurgere de date care (încă) nu este cunoscută nu apare în listă. Programele infostealer (lecția 1.4) fură și parole care nu ajung niciodată într-o scurgere publicată.
• Faptul că apare în listă nu înseamnă că totul este pierdut. Verificați ce date au fost scurse și când. O parolă pe care nu o mai folosiți de ani de zile nu este o problemă; o parolă pe care încă o folosiți peste tot, da.

Ce faceți mai întâi după o scurgere de date

Ordinea contează. Regula cea mai importantă: mai întâi căsuța dumneavoastră de e-mail, pentru că prin intermediul acesteia un atacator poate prelua aproape toate celelalte conturi ale dumneavoastră, folosind funcția „am uitat parola”.

De ce revocați sesiunile

Când vă autentificați, browserul dumneavoastră primește un cookie de sesiune: un fel de permis de acces temporar, astfel încât să nu trebuiască să vă autentificați din nou la fiecare clic. Oricine deține acel cookie este autentificat. Fără parolă și fără al doilea pas.

Exact acest lucru îl fură programele infostealer: nu doar parolele dumneavoastră, ci și cookie-urile. Iar un atacator care s-a autentificat cu parola dumneavoastră are, de asemenea, o sesiune activă. Dacă schimbați doar parola, la unele servicii acea sesiune continuă pur și simplu să funcționeze.

De aceea, după o scurgere de date sau o autentificare suspectă, verificați la fiecare serviciu important lista sesiunilor active sau a dispozitivelor și deconectați tot ce nu recunoașteți, sau tot în afară de dispozitivul pe care lucrați acum. La multe servicii, o parolă nouă vă deconectează automat peste tot; verificați totuși.

Regula de redirecționare ca ușă din spate

Un caz așa cum se întâmplă adesea. Contabila brutăriei Example dă clic pe un e-mail de phishing și își introduce parola de e-mail. Atacatorul se autentifică pe factuur@example.com și face trei lucruri:

1. Creează o regulă: orice e-mail cu „factură”, „plată” sau „IBAN” în subiect este redirecționat către o adresă externă de pe leverancier-administratie.example și apoi este mutat la coșul de gunoi.
2. Își setează propriul număr de telefon ca număr de recuperare.
3. Se deconectează din nou.

Contabila observă că ceva nu este în regulă și își schimbă parola. Rezolvat, crede ea. Dar regula continuă să funcționeze. Atacatorul citește săptămâni la rând fiecare factură, iar într-o zi un client primește o factură „modificată” cu un alt IBAN (lecția 1.2). Prin intermediul numărului de recuperare, atacatorul poate chiar să recupereze contul din nou.

De aceea, verificați întotdeauna, la o căsuță de e-mail:

• reguli și filtre: în special regulile care redirecționează sau șterg;
• redirecționarea în setările căsuței de e-mail și în panoul dumneavoastră de găzduire (hosting);
• răspunsurile automate pe care nu le-ați creat dumneavoastră;
• parolele de aplicație și aplicațiile conectate: eliminați ce nu recunoașteți;
• datele de recuperare și lista dispozitivelor la autentificarea în doi pași.

Dacă un cont a fost preluat cu adevărat

Dacă nu mai aveți acces, folosiți numai procedura oficială de recuperare a serviciului respectiv. O găsiți mergând dumneavoastră înșivă pe site, nu printr-un link dintr-un e-mail sau dintr-o reclamă de căutare. Aveți grijă la „ajutorul de recuperare” pe care îl contactați dumneavoastră pe rețelele sociale sau care vă contactează pe dumneavoastră: adesea sunt escroci care vor să vă păcălească a doua oară.

După aceea:

• efectuați pașii 3 până la 8 din tabelul de mai sus;
• creați coduri de recuperare noi și activați un al doilea pas mai puternic (lecțiile 2.3 și 2.4);
• raportați frauda sau phishingul poliției și autorității naționale de securitate cibernetică și depuneți plângere la poliție dacă există prejudicii;
• notați ce s-a întâmplat și când. Dacă au fost implicate date ale clienților, s-ar putea să fie vorba despre o încălcare a securității datelor (lecția 8.2).

În practică: așa arată

În mediul WebOké, în Contul meu WebOké, la Date de autentificare, găsiți cardul Sesiuni active, cu, pentru fiecare sesiune, browserul, sistemul, adresa IP și de când este activă. Puteți deconecta o singură sesiune sau toate, cu excepția dispozitivului pe care lucrați acum. În Nextcloud, la Security, găsiți secțiunea Devices & sessions, unde puteți, de asemenea, revoca sau șterge de la distanță un dispozitiv. Redirecționarea și filtrele unei căsuțe de e-mail se găsesc în panoul de găzduire și în webmail. La alți furnizori funcționează similar: căutați „sesiuni”, „dispozitive”, „securitate” sau „activitate recentă”.

Rezumat

• Verificați dumneavoastră înșivă pe haveibeenpwned.com dacă adresa dumneavoastră de e-mail apare într-o scurgere de date cunoscută; Pwned Passwords funcționează prin k-anonimitate (doar primele 5 caractere ale hash-ului sunt trimise).
• A nu apărea în listă nu este același lucru cu a fi în siguranță.
• După o scurgere de date: mai întâi căsuța de e-mail, apoi revocarea sesiunilor, verificarea autentificării în doi pași și a datelor de recuperare.
• O schimbare de parolă nu elimină regulile de redirecționare, parolele de aplicație sau sesiunile furate.
• Un cont preluat se recuperează doar prin modalitatea oficială a serviciului.

Test (quiz)

Exercițiu

Exercițiul D2.5: Propria dumneavoastră verificare de scurgeri de date și rundă de curățare. Verificați dumneavoastră înșivă pe haveibeenpwned.com adresele de e-mail ale companiei dumneavoastră și activați „Notify me”. Verificați, la căsuța dumneavoastră de e-mail și la conturile dumneavoastră cele mai importante, sesiunile active, regulile de redirecționare, parolele de aplicație și datele de recuperare, și eliminați ce nu recunoașteți. Bifați lista de verificare și răspundeți la întrebările de reflecție. Nu introduceți nicio adresă de e-mail sau parolă în cadrul cursului.

Lecturi suplimentare

Pașii din articolele WebOké se aplică mediului WebOké; la alți furnizori funcționează similar.

• Manual WebOké 3.6: Vizualizarea și deconectarea sesiunilor active
• Manual Nextcloud 3.6: Dispozitivele și sesiunile vizualizare, revocare sau ștergere de la distanță
• Manual DirectAdmin 3.7: Parole sigure și ce faceți în cazul unei parole compromise
• Autentificarea în Nextcloud nu reușește: parolă, cod sau limitare
• Cutia poștală a fost compromisă sau se trimite spam de la adresa dumneavoastră: iată cum faceți curățenie
• Have I Been Pwned (căutați dumneavoastră înșivă după adresa de e-mail): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (în engleză, explicație despre k-anonimitate): https://haveibeenpwned.com/Passwords
• Raportarea fraudei și a phishingului (poliția și autoritatea națională de securitate cibernetică): https://www.fraudehelpdesk.nl