Хората говорят за това, че техните онлайн профили са "хакнати", но как точно се случва това хакерство? Реалността е, че сметките са опростени по скромни начини - атакуващите не използват черна магия.
Знанието е сила. Разбирането как всъщност са компрометирани профилите може да ви помогне да защитите профилите си и да предотвратите "хакването" на паролите си на първо място.
Много хора - може би дори повечето хора - използват повторно пароли за различни сметки. Някои хора дори могат да използват една и съща парола за всеки акаунт, който използват. Това е изключително несигурно. Много уебсайтове - дори големи, добре познати като LinkedIn и eHarmony - имат бази данни за пароли, изтекли през последните няколко години. Бази данни за пропуснати пароли, заедно с потребителски имена и имейл адреси са лесно достъпни онлайн. Атакуващите могат да опитат тези комбинации от имейл адреси, потребителско име и пароли на други уебсайтове и да получат достъп до много профили.
Повторното използване на парола за вашия имейл акаунт ви излага още повече на риск, тъй като вашият имейл акаунт може да бъде използван за възстановяване на всичките ви пароли, ако нападателят получи достъп до него.
Колкото и да сте добре, за да защитите паролите си, не можете да контролирате колко добре използваните от вас услуги пазят вашите пароли. Ако използвате повторно пароли и една компания изтича, всички ваши профили ще бъдат изложени на риск. Трябва да използвате различни пароли навсякъде - администраторът на пароли може да помогне с това.
Keyloggers са злонамерени програми, които могат да се изпълняват във фонов режим, като се регистрират всички ключови удари, които правите. Те често се използват за улавяне на чувствителни данни като номера на кредитни карти, пароли за онлайн банкиране и други идентификационни данни за профила. След това изпращат тези данни на атакуващ по интернет.
Такъв злонамерен софтуер може да пристигне чрез експлойти - например, ако използвате остаряла версия на Java, както повечето компютри в Интернет, можете да бъдете компрометирани чрез аплет на Java на уеб страница. Те обаче могат да пристигнат и в друг софтуер. Например можете да изтеглите инструмент на трета страна за онлайн игра. Инструментът може да е злонамерен, като улавя паролата ви за игра и го изпраща на атакуващия през интернет.
Използвайте прилична антивирусна програма, актуализирайте софтуера си и избегнете изтеглянето на неблагонадежден софтуер.
Атакуващите също често използват социални инженерни трикове за достъп до вашите сметки. Фишингът е общоизвестна форма на социално инженерство - по същество нападателят се представя за лице и поиска паролата ви. Някои потребители предават паролите си лесно. Ето някои примери за социално инженерство:
Бъдете внимателни с кого да дадете паролата си - не кликвайте върху връзки в имейлите и отидете на уебсайта на банката си, не раздавайте паролата си на всеки, който ви се свърже с вас и я поиска, и не давайте данните си за достоверността на профила си уебсайтове, особено тези, които изглеждат твърде добри, за да са верни.
Паролите често могат да бъдат нулирани, като отговарят на въпроси за сигурността. Въпросите за сигурността обикновено са невероятно слаби - често неща като "Къде се родихте?", "Какво училище сте ходили?" И "Какво е моминското име на майка ви?". Често е много лесно да намерите тази информация на обществено достъпни сайтове за социални контакти и повечето нормални хора ще ви кажат какво училище са отишли, ако бъдат помолени. С тази лесна за получаване информация, атакуващите често могат да възстановят пароли и да получат достъп до сметки.
В идеалния случай трябва да използвате въпроси за сигурността с отговори, които не могат лесно да бъдат открити или познати. Уебсайтовете също трябва да попречат на хората да получат достъп до акаунт, само защото знаят отговорите на няколко въпроса за сигурността, а някои - но някои все още не.
Ако атакуващият използва някой от горните методи, за да получи достъп до имейл акаунтите ви, имате по-големи проблеми. Вашият имейл акаунт обикновено функционира като основна онлайн сметка. Всички останали профили, които използвате, са свързани с него и всеки, който има достъп до имейл акаунта, може да го използва, за да възстанови паролите ви на произволен брой сайтове, на които сте регистрирали имейл адреса.
По тази причина трябва да си осигурите възможно най-много вашия имейл акаунт. Особено важно е да се използва уникална парола за нея и да се пази внимателно.
Повечето хора вероятно предполагат, че нападателите се опитват да проверят всяка възможна парола, за да влязат в онлайн профила си. Това не се случва. Ако сте се опитали да влезете в онлайн акаунта на някого и да продължите да познавате пароли, ще бъдете забавени и няма да можете да опитате повече от шепа пароли.
Ако нападателят е в състояние да влезе в онлайн акаунта само като познае пароли, вероятно паролата е нещо очевидно, което може да се отгатне за първите няколко опита, като "парола" или името на домашния любимец на човека.
Атакуващите биха могли да използват такива методи за груба сила, ако имат локален достъп до вашите данни - например, да кажем, че сте съхранили криптиран файл в профила си в Dropbox и нападателите са получили достъп до него и са изтеглили шифрования файл.След това биха могли да се опитат да принудят криптиране, като същевременно се опитват да направят всяка комбинация от пароли, докато не започне работа.
Хората, които казват, че сметките им са "хакнати", вероятно са виновни за повторното използване на пароли, инсталирането на ключов дървар или даването на акредитацията им на атакуващ след трикове за социални инженери. Те също може да са били компрометирани в резултат на лесно замислени въпроси, свързани със сигурността.
Ако предприемете правилни мерки за сигурност, няма да бъде лесно да "провалите" профилите си. Използването на двуфакторно удостоверяване също може да помогне - нападателят ще се нуждае от повече от вашата парола, за да влезе.
Image Credit: Робърт ван дер Стейг на Flickr, асен на Flickr
