Модул 2 · 2.5
Изтекли данни? Проверка и възстановяване
Модул 2: Пароли и вход в системата · Време за четене: 10 минути
Учебна цел: След този урок ще можете сами да проверите дали Вашите данни се съдържат в изтекла база данни, да реагирате в правилния ред при такъв теч и да възстановите и почистите откраднат акаунт.
Основни понятия: Have I Been Pwned, k-анонимност, уведомления за теч на данни, прекратяване на сесии, сесийна бисквитка (session cookie), данни за възстановяване, правила за пренасочване
Как разбирате, че нещо е изтекло
Често не разбирате. Изтекла парола може да стои с месеци в комбинирани списъци (combolist), преди някой да я опита. Затова следете за следните сигнали:
- Дадена услуга Ви изпраща имейл, че е имало теч на данни. Първо проверете дали този имейл е истински (модул 3): отидете сами на сайта, вместо да кликате върху връзката.
- Получавате код за вход или искане за одобрение, което не сте заявявали сами (урок 2.3).
- Виждате известие „нов вход от непознато устройство“.
- Клиенти или колеги получават странни имейли „от Вас“, или липсват имейли, които наистина сте изпратили.
- Вашият мениджър на пароли предупреждава, че дадена парола присъства в теч на данни.
- Изведнъж не можете да влезете в акаунта си, или данните Ви за възстановяване са променени.
Проверка сами с Have I Been Pwned
Have I Been Pwned (haveibeenpwned.com) е известна, безплатна услуга, която събира данни от публично известни течове на данни. Там можете сами да потърсите своя имейл адрес. Ще видите в кои течове се среща адресът и какви видове данни са били засегнати: само имейл адреси, или също пароли, имена, телефонни номера или адреси. С функцията „Notify me“ получавате имейл, когато адресът Ви се появи в нов теч.
Направете това сами, на сайта на услугата. В този курс никога не Ви молим да въвеждате имейл адрес или парола никъде.
Има и раздел Pwned Passwords, с който мениджъри на пароли и уебсайтове проверяват дали дадена парола някога е изтичала. Той работи с k-анонимност: Вашата парола се преобразува на Вашето собствено устройство в хеш (своеобразен „пръстов отпечатък“) и само първите 5 символа от него се изпращат към услугата. Услугата връща всички известни хешове, които започват с тези 5 символа, а Вашето собствено устройство проверява дали пълният Ви хеш се намира сред тях. Така услугата никога не вижда Вашата парола и дори не знае кой от стотиците върнати хешове е именно Вашият.
Две уточнения:
- Липсата в списъка не означава сигурност. Теч, който (все още) не е известен, не присъства в него. Инфостийлъри (урок 1.4) крадат и пароли, които никога не попадат в публикуван теч.
- Наличието в списъка не означава, че всичко е загубено. Погледнете какви данни са изтекли и кога. Парола, която вече с години не използвате, не е проблем; парола, която все още използвате навсякъде, е.
Какво да направите първо след теч на данни
Редът има значение. Най-важното правило: първо Вашата пощенска кутия, защото чрез нея нападателят може през „забравена парола“ да превземе почти всичките Ви останали акаунти.
| Стъпка | Какво | Защо |
|---|---|---|
| 1 | Работете от чисто устройство, ако подозирате malware | Инфостийлър на Вашия лаптоп ще открадне и новата Ви парола |
| 2 | Сменете паролата на пощенската си кутия | Ключът към всички връзки „забравена парола“ |
| 3 | Прекратете всички сесии (излезте навсякъде) | Нападател, който вече е влязъл, иначе остава вътре |
| 4 | Проверете двуфакторното удостоверяване: включено ли е и няма ли добавено непознато устройство или номер? | Нападателят понякога добавя собствения си телефон |
| 5 | Проверете данните за възстановяване: имейл за възстановяване и телефонен номер | Иначе по-късно просто ще си върне акаунта |
| 6 | Проверете правилата за пренасочване, филтрите и паролите за приложения | Това са задни вратички, които продължават да работят след смяна на паролата |
| 7 | Направете същото за всеки акаунт, в който сте използвали същата парола | Credential stuffing: ще я опитат и там |
| 8 | Уведомете контактите си, че е възможно от Вашето име да е изпратен фалшив имейл, и проверете дали става въпрос за теч на данни, който трябва да бъде докладван | Урок 3.5 и 8.2 |
Защо трябва да прекратявате сесиите
Когато влезете в акаунта си, браузърът Ви получава сесийна бисквитка (session cookie): нещо като временен пропуск за достъп, за да не се налага да влизате наново при всяко кликване. Който притежава тази бисквитка, е влязъл. Без парола и без втора стъпка.
Точно това крадат инфостийлърите: не само паролите Ви, но и бисквитките Ви. А нападател, влязъл с Вашата парола, също получава сесия. Ако смените само паролата си, при някои услуги тази сесия просто продължава да работи.
Затова след теч на данни или странен вход проверявайте при всяка важна услуга прегледа на активните сесии или устройствата и излизайте от всичко, което не разпознавате, или от всичко освен устройството, на което работите в момента. При много услуги новата парола автоматично Ви извежда навсякъде; все пак проверете.
Правилото за пренасочване като задна врата
Случай, какъвто често се среща. Счетоводителката на „Хлебопекарна Primer“ кликва върху фишинг имейл и въвежда паролата си за пощата. Нападателят влиза в factuur@example.com и прави три неща:
- Създава правило: всеки имейл с думите „фактура“, „плащане“ или „IBAN“ в темата се пренасочва към външен адрес на
leverancier-administratie.example, а след това се премества в кошчето. - Задава собствения си телефонен номер като номер за възстановяване.
- Излиза от акаунта.
Счетоводителката забелязва, че нещо не е наред, и сменя паролата си. „Решено“, мисли си тя. Но правилото продължава да работи. Нападателят седмици наред чете всяка фактура, и един ден клиент получава „коригирана“ фактура с друг IBAN (урок 1.2). Чрез номера за възстановяване той може дори да си върне акаунта по-късно.
Затова при пощенска кутия винаги проверявайте:
- правила и филтри: особено такива, които пренасочват или изтриват;
- пренасочването в настройките на пощенската кутия и в контролния панел на Вашия хостинг;
- автоматични отговори, които не сте създали сами;
- пароли за приложения и свързани приложения: премахнете всичко, което не разпознавате;
- данните за възстановяване и списъка с устройства при двуфакторното удостоверяване.
Ако акаунт е наистина откраднат
Ако вече не можете да влезете, използвайте само официалната процедура за възстановяване на услугата. Намерете я, като отидете сами на сайта, а не чрез връзка от имейл или рекламна обява в търсачка. Внимавайте с „помощ за възстановяване“, която Вие търсите в социалните мрежи или която се обръща към Вас: често това са измамници, които искат да Ви ударят втори път.
След това:
- изпълнете стъпки 3 до 8 от таблицата по-горе;
- създайте нови кодове за възстановяване и включете по-силна втора стъпка (урок 2.3 и 2.4);
- подайте сигнал за измама или фишинг до ГДБОП, сектор „Киберпрестъпност“ (https://www.cybercrime.bg/), и подайте жалба в МВР, ако има причинени щети;
- запишете какво се е случило и кога. Ако става въпрос за данни на клиенти, може да се касае за теч на лични данни (урок 8.2).
На практика: ето как изглежда
В средата на WebOké виждате в Моят WebOké, в раздел „Данни за вход“, картата „Активни сесии“, с информация за всяка сесия: браузър, система, IP адрес и от кога е активна. Можете да излезете от една сесия или навсякъде освен от устройството, на което работите в момента. В Nextcloud в раздел Security има преглед „Устройства и сесии“, откъдето можете да прекратите достъпа на дадено устройство или да го изтриете отдалечено. Пренасочването и филтрите на пощенска кутия се намират в контролния панел на хостинга и в уебмейла. При други доставчици работи по подобен начин: потърсете „сесии“, „устройства“, „сигурност“ или „скорошна активност“.
Обобщение
- Проверете сами на haveibeenpwned.com дали имейл адресът Ви присъства в известен теч на данни; Pwned Passwords работи с k-анонимност (само първите 5 символа от хеша се изпращат навън).
- Липсата в списъка не е равносилна на сигурност.
- След теч на данни: първо пощенската кутия, после прекратяване на сесии, проверка на двуфакторното удостоверяване и данните за възстановяване.
- Смяната на паролата не премахва правилата за пренасочване, паролите за приложения или откраднатите сесии.
- Откраднат акаунт се възстановява само по официалния път на съответната услуга.
Тест (quiz)
Задача
Задача D2.5: Собствена проверка за изтекли данни и почистване. Проверете сами на haveibeenpwned.com Вашите служебни имейл адреси и включете „Notify me“. Прегледайте за пощенската си кутия и най-важните си акаунти активните сесии, правилата за пренасочване, паролите за приложения и данните за възстановяване и почистете всичко, което не разпознавате. Отметнете чеклистата и отговорете на въпросите за размисъл. В курса не въвеждате никакъв имейл адрес или парола.
Задача D2.5: Собствена проверка за изтекли данни и почистване
Ето как да подходите: (1) Проверете сами в haveibeenpwned.com служебните си имейл адреси (например info@ и factuur@ на Вашия домейн). Отбележете за себе си в кои изтичания на данни фигурират и какви данни са засегнати. (2) Включете „Notify me“ за тези адреси. (3) Сменете паролите, които са участвали в изтичане на данни и все още се използват, както и всяка парола, която сте използвали на повече от едно място. (4) Прегледайте активните сесии или устройства на пощенската си кутия и трите си най-важни други акаунта и излезте от всички, които не разпознавате. (5) Проверете в пощенската си кутия правилата, филтрите, препращането (в уебмейла и в контролния панел на хостинга), автоматичните отговори, паролите за приложения и свързаните приложения. (6) Проверете данните за възстановяване (имейл за възстановяване, телефонен номер) и устройствата при двуфакторното удостоверяване.
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
За по-нататъшно четене
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен начин.
- Ръководство на WebOké 3.6: Преглед на активни сесии и изход
- Nextcloud наръчник 3.6: Преглед, отнемане или дистанционно изтриване на устройства и сесии
- Ръководство за DirectAdmin 3.7: Сигурни пароли и какво да правите при изтекла парола
- Влизането в Nextcloud не е успешно: парола, код или забавяне на опитите
- Пощенската кутия е превзета или се изпраща спам от Вашия адрес: ето как да почистите
- Have I Been Pwned (проверете сами своя имейл адрес): https://haveibeenpwned.com
- Have I Been Pwned, Pwned Passwords (на английски, обяснение на k-анонимността): https://haveibeenpwned.com/Passwords
- ГДБОП, сектор „Киберпрестъпност“ (подаване на сигнал за измама и фишинг): https://www.cybercrime.bg/