Hacking wagwoorde, ongeag die wagwoorde wat hulle mag hê - vanaf pos, internetbankdienste, Wi-Fi of Vkontakte en Odnoklassniki-rekeninge, het onlangs 'n gereelde gebeurtenis geword. Dit is hoofsaaklik te danke aan die feit dat gebruikers nie redelik eenvoudige sekuriteitsreëls nakom wanneer wagwoorde geskep, gestoor en gebruik word nie. Maar dit is nie die enigste rede waarom wagwoorde in die verkeerde hande kan val nie.
Hierdie artikel bevat gedetailleerde inligting oor watter metodes gebruik kan word om gebruikerswagwoorde te kraak en waarom jy kwesbaar is vir sulke aanvalle. En aan die einde vind jy 'n lys aanlyn-dienste wat jou sal laat weet as jou wagwoord alreeds in gevaar gestel is. Daar sal ook (al) 'n tweede artikel oor die onderwerp wees, maar ek beveel aan om dit uit die huidige resensie te lees, en dan eers na die volgende een.
Update: die volgende materiaal is gereed - Oor wagwoord sekuriteit, wat beskryf hoe om jou rekeninge en wagwoorde maksimaal te beveilig.
Watter metodes word gebruik om wagwoorde te kraak
Vir hacking word wagwoorde nie 'n wye verskeidenheid van verskillende tegnieke gebruik nie. Byna almal is bekend en byna enige kompromie van vertroulike inligting word bereik deur die gebruik van individuele metodes of hul kombinasies.
phishing
Die mees algemene manier waarop vandag weggeneem word deur wagwoorde van gewilde e-posdienste en sosiale netwerke, is phishing. Hierdie metode werk vir 'n baie groot persentasie gebruikers.
Die kern van die metode is dat jy jouself op 'n bekende webwerf (dieselfde Gmail, VC of Odnoklassniki, byvoorbeeld) vind, en om een of ander rede word jy gevra om jou gebruikersnaam en wagwoord in te voer (om in te teken, iets te bevestig, vir sy verandering, ens.). Onmiddellik na inskrywing is die wagwoord van indringers.
Hoe dit gebeur: jy kan 'n brief ontvang, na bewering van die ondersteuningsdiens wat verklaar dat jy by jou rekening moet inskakel en 'n skakel gegee word wanneer jy na hierdie webwerf oorskakel, wat presies die oorspronklike kopieer. Dit is moontlik dat die stelsel instellings so gou moontlik na willekeurige installasie van ongewenste sagteware op 'n rekenaar verander. Wanneer u die adres van die werf wat u benodig in die adresbalk van die blaaier, invoer, kom u eintlik na 'n phishing-webwerf wat op presies dieselfde manier ontwerp is.
Soos ek reeds opgemerk het, val baie gebruikers hiervoor, en gewoonlik is dit as gevolg van onverskilligheid:
- As u 'n brief ontvang wat u in een of ander vorm aanmeld by u rekening op 'n bepaalde webwerf, moet u aandag gee aan of dit van die e-pos adres op hierdie webwerf gestuur is: soortgelyke adresse word gewoonlik gebruik. Byvoorbeeld, in plaas van [email protected], is dit dalk [email protected] of iets soortgelyks. Die korrekte adres waarborg egter nie altyd dat alles in orde is nie.
- Voordat jy jou wagwoord enige plek inskryf, kyk noukeurig na die adresbalk van jou blaaier. Eerstens moet daar presies aangedui word op die webwerf waarheen u wil gaan. In die geval van malware op 'n rekenaar, is dit egter nie genoeg nie. U moet ook aandag skenk aan die teenwoordigheid van die enkripsie van die konneksie, wat bepaal kan word deur die https-protokol te gebruik in plaas van http en die beeld van die "slot" in die adresbalk, deur te klik op wat u kan verseker dat u op hierdie webwerf is. Byna al die ernstige hulpbronne wat benodig om by jou rekening aan te meld, gebruik enkripsie.
Terloops, ek sal daarop let dat beide phishing-aanvalle en wagwoord-soekmetodes (hieronder beskryf) nie die naspeurige taak van een persoon impliseer nie (dit wil sê, hulle hoef nie 'n miljoen wagwoorde handmatig in te voer nie). Dit word alles deur spesiale programme gedoen, vinnig en in groot hoeveelhede. , en rapporteer dan oor die vordering van die aanvaller. Daarbenewens kan hierdie programme nie op die rekenaar van die hacker werk nie, maar in die geheim van u en onder duisende ander gebruikers, wat die doeltreffendheid van hacks aansienlik verhoog.
Wagwoord seleksie
Aanvalle wat wagwoordherstel gebruik (Brute Force, brute force in Russian) is ook baie algemeen. As 'n paar jaar gelede, was die meeste van hierdie aanvalle regtig 'n soektog deur al die kombinasies van 'n sekere stel karakters om wagwoorde van 'n sekere lengte te maak, en op die oomblik is alles ietwat eenvoudiger (vir hackers).
Die analise van miljoene wagwoorde wat die afgelope jare ontsnap het, toon dat minder as die helfte van hulle uniek is, terwyl die persentasies redelik klein is op die webwerwe waar meestal onervare gebruikers woon.
Wat beteken dit? Oor die algemeen hoef die hacker nie deur ontelbare miljoene kombinasies te gaan nie: 'n basis van 10-15 miljoen wagwoorde ('n benaderde getal, maar naby aan die waarheid) en vervang slegs hierdie kombinasies, kan hy byna die helfte van die rekeninge op enige webwerf haak.
In die geval van 'n geteikende aanval op 'n spesifieke rekening, kan bykomend tot die basis 'n eenvoudige brute krag gebruik word, en met moderne sagteware kan jy dit relatief vinnig doen: 'n wagwoord van 8 karakters kan oor 'n paar dae gekraak word (en as hierdie karakters 'n datum of 'n kombinasie van en datums, wat nie ongewoon is nie - in minute).
Let wel: As u dieselfde wagwoord gebruik vir verskillende webwerwe en dienste, dan sal u, sodra u wagwoord en die ooreenstemmende e-pos adres op enige van hulle gekompromitteer word, met behulp van spesiale sagteware dieselfde kombinasie van aanmelding en wagwoord op honderde ander webwerwe getoets word. Byvoorbeeld, onmiddellik na die lek van 'n paar miljoen Gmail en Yandex wagwoorde aan die einde van verlede jaar, het 'n golf hacking rekeninge ontstaan uit Origin, Steam, Battle.net en Uplay (ek dink baie ander, net vir die gespesifiseerde dobbel dienste wat ek herhaaldelik gekontak is).
Hacking sites en kry wagwoord hashes
Mees ernstige webwerwe stoor nie jou wagwoord in die vorm waarin jy dit ken nie. Slegs 'n hash word gestoor in die databasis - die resultaat van die toepassing van 'n onomkeerbare funksie (dit wil sê, jy kan nie jou wagwoord weer van hierdie resultaat kry nie) na die wagwoord. Wanneer u inteken op die webwerf, word die hash weer bereken en as dit saamval met wat in die databasis gestoor word, het u die wagwoord korrek ingevoer.
Soos dit maklik is om te raai, is dit die haas wat gestoor word, en nie die wagwoorde self nie, net om sekuriteitsredes - sodat wanneer 'n hacker in die databasis inkom en dit ontvang, nie die inligting kan gebruik en die wagwoorde kan leer nie.
Hy kan egter dit heel dikwels doen:
- Om die hash te bereken, word sekere algoritmes gebruik, waarvan die meeste bekend en algemeen is (dit is, enigiemand kan dit gebruik).
- Met databasisse met miljoene wagwoorde (van 'n brute kragklousule), het 'n aanvaller ook toegang tot die hashes van hierdie wagwoorde wat bereken is met al die beskikbare algoritmes.
- Deur die vergelyking van inligting uit die databasis en wagwoordhope uit u eie databasis, kan u bepaal watter algoritme gebruik word en vind u die regte wagwoorde vir 'n deel van die rekords in die databasis deur 'n eenvoudige vergelyking (vir alle nie-unieke eenhede). En brute krag gereedskap sal jou help om die res van unieke, maar kort wagwoorde te leer.
Soos u kan sien, die bemarkingseise van verskeie dienste wat hulle nie u wagwoorde op u werf stoor nie, beskerm u nie noodwendig van die lekkasie nie.
Spyware (SpyWare)
SpyWare of spyware - 'n wye verskeidenheid kwaadwillige sagteware wat geheime op 'n rekenaar geïnstalleer is (spyware kan ook ingesluit word as deel van sekere nodige sagteware) en versamel gebruikerinligting.
Onder andere, sekere tipes SpyWare, byvoorbeeld keyloggers (programme wat die sleutels druk wat jy druk) of versteekte verkeersanaliseerders, kan gebruik word (en word gebruik) om gebruikerswagwoorde te verkry.
Sosiale ingenieurswese en wagwoordherstel vrae
Soos Wikipedia ons vertel, is sosiale ingenieurswese 'n metode van toegang tot inligting wat gebaseer is op die eienskappe van 'n persoon se sielkunde (dit sluit in phishing hierbo genoem). Op die internet kan jy baie voorbeelde vind van die gebruik van sosiale ingenieurswese (ek beveel aan om te soek en te lees - dit is interessant), waarvan sommige opvallend is in hul elegansie. Oor die algemeen lei die metode tot die feit dat feitlik enige inligting wat nodig is om vertroulike inligting te verkry, verkry kan word deur gebruik te maak van menslike swakhede.
En ek sal net 'n eenvoudige en nie besonder elegante huishoudelike voorbeeld wat verband hou met wagwoorde gee nie. Soos u weet, op baie terreine vir die herstel van wagwoorde, is dit genoeg om die antwoord op die kontrolevraag in te voer: watter skool het u bygewoon, ma se nooiensnaam, troeteldier se naam ... Selfs as u nie hierdie inligting reeds in oop toegang op sosiale netwerke gepos het nie, dink u dit is moeilik Of jy dieselfde sosiale netwerke gebruik, bekend is met jou, of spesiaal kennis maak, kry sulke inligting onopvallend?
Hoe om te weet dat jou wagwoord gehack is
Wel, en aan die einde van die artikel, verskeie dienste wat jou toelaat om uit te vind of jou wagwoord gekraak is, deur jou e-posadres of gebruikersnaam te kontroleer met wagwoorddatabasisse wat deur hackers toeganklik was. (Ek is 'n bietjie verbaas dat daar onder hulle te groot persentasie databasisse uit Russies-taaldienste is).
- //haveibeenpwned.com/
- //breachalarm.com/
- //pwnedlist.com/query
Het u rekening in die lys van bekende hackers gevind? Dit is sinvol om die wagwoord te verander, maar in die komende dae sal ek in meer besonderhede oor veilige praktyke in verband met rekeningwagwoorde skryf.
