مرحباً، لقد تعرضنا مؤخرًا لهندسة اجتماعية لمنح صلاحيات المسؤول لمستخدم تم اختراقه. بقدر ما تقول السجلات، فقد قام بتمكين “مستكشف البيانات”، ولم يفعل شيئًا آخر سوى انتحال شخصية عدد قليل من المستخدمين.
ما هو تأثير هذا الحادث على منتدانا وهل هناك أي شيء خطير؟
يمكن للانتحال أن يوضح لهم أن المستخدمين يرسلون بريدًا إلكترونيًا دون تسجيل هذا الجزء.
أما بالنسبة لاستكشاف البيانات…
يمكن استقبال أي شيء تقريبًا باستخدامه بما في ذلك البريد الإلكتروني لكل مستخدم، وعنوان IP، و كلمات المرور (حسنًا، التجزئة وخوارزمية التجزئة ولكن يمكنك بعد ذلك الحصول على كلمة المرور بذلك)، وما إلى ذلك، ويمكن تصديرها بنقرة واحدة. كما أن إنشاء الاستعلامات وحذفها غير مسجل.
أوصي بإنشاء منشور تثبيت عالمي وشعار يفيد بأنه تم منح مستخدم ذي نية سيئة صلاحيات المسؤول وقد تم تسريب رسائل البريد الإلكتروني وعناوين IP وما إلى ذلك إليه نتيجة لذلك. وتغيير كلمة المرور الخاصة بهم.
ولكن سيتم تجزئة كلمات المرور بحيث يكون هذا الجزء آمنًا، أليس كذلك؟
أعتقد أن الخوارزمية التي يمكنهم الحصول عليها (مطابقة مع التجزئة) ستسمح لهم بفك تشفير التجزئة.
هل هناك طريقة لإجبار الجميع على إعادة تعيين كلمة المرور الخاصة بهم؟ لقد قمت بإعلان ولكن هذا لن يشمل الجميع
لا أعتقد ذلك. ما يمكنك فعله هو استخدام واجهة برمجة التطبيقات وإرسال بريد إلكتروني لإعادة تعيين كلمة المرور إلى كل مستخدم.
ماذا؟ هذا مستحيل. التشفير يجعل من المستحيل علينا استعادة كلمة المرور من تجزئة كلمة المرور، إلا إذا تم استخدام الهندسة الاجتماعية.
ببساطة، على الرغم من أن تجزئة كلمة المرور المسربة تحمل مخاطر كبيرة، إلا أنها يمكن أن تساعد الآخرين في تخمين كلمة المرور من خلال معلومات مثل عيد الميلاد، الاسم، رقم الهاتف، إلخ، ولكن لا يمكن لأحد استعادة كلمة المرور بناءً على تجزئة كلمة المرور وحدها.
ماذا عن الملح والخوارزمية؟
الخوارزمية التشفيرية تشبه التقاط صورة لكلمة مرور. نفس الشخص سيأخذ نفس الصورة بالفعل، لكن الشخص الذي يحصل على الصورة لا يمكنه استعادة الحمض النووي الخاص بك من الصورة وحدها.
ملح كلمة المرور يزيد من أمان كلمة المرور، مما يجعل من الصعب كسرها باستخدام جداول قوس قزح وغيرها من الوسائل حتى لو تم تسريبها.
إذن، حتى مع وجود كلمات المرور الثلاثة المسربة، هل هي آمنة؟
ليس آمنًا تمامًا. إذا كان لدى المستخدمين عادات كلمات مرور جيدة جدًا، مثل عدم استخدام “ilovexxxx” أو “الاسم + تاريخ الميلاد” ككلمات مرور، فإن هذه الطرق يمكن أن تقلل بشكل كبير من احتمالية اختراق كلمات المرور الخاصة بهم. إذا لم يكن لدى المستخدمين عادات كلمات مرور جيدة، فإن جميع حساباتهم على جميع مواقع الويب تكون معرضة للخطر.
يمكنك محاولة إعادة تعيين كلمات مرور الجميع إلى كلمات مرور عشوائية في وحدة تحكم Ruby، مما سيجبرهم على إعادة تعيين كلمات مرورهم لتسجيل الدخول.
شكرا لك!
اطلب من المسؤولين والمستخدمين لديك تمكين المصادقة الثنائية.
أفعل ذلك أيضًا
إذا كنت تعيد تعيين كلمة مرور الجميع، فتأكد من وضع لافتة من نوع ما لإعلام الأشخاص بأنهم بحاجة إلى تغيير كلمة المرور الخاصة بهم، وكن مستعدًا لتوقع مشاكل مع قيام الأشخاص بذلك.
أعتقد أن هذا الرد مضلل لكونه مُعلَّمًا كـ “الحل”.
لا أعتقد أن الأمر مضلل. كان السؤال حول تأثير حصول شخص ما على وصول المسؤول مؤقتًا، والإجابة هي أنه يمكن اختراق كل شيء تقريبًا لأن المهاجم كان بإمكانه تنزيل (أجزاء من) قاعدة البيانات دون ترك أثر.
ونعم، قد يكون من الصعب جدًا كسر تجزئات كلمات المرور، ولكن إذا كان لديك سياق إضافي (مثل عناوين البريد الإلكتروني للمستخدمين) والوصول إلى كلمات المرور المسربة من مصدر آخر، فهناك فرصة لتجميع بعض الأشياء والنجاح.
بقول "يمكنك بعد ذلك الحصول على كلمة المرور" مع "التجزئة وخوارزمية التجزئة" اعتقدت أن قصد إيثان هو أنه مسلحًا فقط بالتجزئات وخوارزمية التجزئة يمكنك الحصول على جميع كلمات المرور.
هذا هو المعنى الذي اعتقدت أنه مقصود والذي وجدته مضللاً. ربما يكون مضللاً فقط لغير المتعلمين. سأبحث في هذا الموضوع المثير للاهتمام بمجرد أن تسنح لي الفرصة!
مع المستخدمين العاديين يمكنك الحصول على معظمها.
لا يتطلب الأمر أكثر من قوة معالجة خام للكسر العنيف باستخدام قائمة كلمات مرور بمجرد حصولك على التجزئات والأملاح وعدم وجود قيود على المعدل.