1,1 միլիարդ հաշվեգրերի տվյալներ են արտահոսել համացանց. ինչպե՞ս պաշտպանվել

«Կասպերսկի Լաբորատորիա» ընկերության Հայաստանի ներկայացուցչությունը հայտարարություն է տարածել՝ տեղեկացնելով, որ  կիբեռանվտանգության փորձագետ Տրոյ Հանթը (Troy Hunt) իր բլոգում տեղեկացրել է, համացանցում հայտնաբերվել է Collection #1 անվանումը կրող տվյալների հսկայական բազա:

«Այդտեղ 700 մլն ունիկալ e-mail հասցեներ են և 1,1 մլրդ ոչ պակաս ունիկալ մուտքանունների և գաղտնաբառերի տվյալներ։ «Կասպերսկի Լաբորատորիա»-ի փորձագետները պարզել են, թե ինչպես ստուգել, հայտնվել են արդյոք բազայում որոշակի օգտատիրոջ տվյալները, և ինչ անել, եթե դժբախտությունը նրան չի շրջանցել։ Տվյալների արտահոսքերի և անվտանգության համակարգերի սողանցքները հազվադեպ երևույթ չեն։ Բայց երբեմն դրանք առանձնապես խոշոր են լինում։ Կիբեռհանցագործներից շատերը հավաքում են համացանց արտահոսած տեղեկատվությունը՝ ստեղծելով մուտքանունների և գաղտնաբառերի սեփական բազան։ Ընդ որում, ոմանք ձգտում են հավաքագրել յուրաքանչյուր արտահոսքի տվյալները՝ իրենց հավաքածուն համալրելու համար։ Այդպես էլ հայտնվում են նման հսկայական հավաքածուները, ինչպիսին է Տրոյ Հանթի հետազոտության առարկան՝ Collection #1-ը։

Այդ բազան չի ձևավորվել ինչ-որ մեկ խոշոր միջադեպի արդյունքում, ինչպես եղել էր Yahoo-ի օգտատերերի հաշվեգրերի (account) գողության արդյունքում. ջանասեր հավաքածու կազմողը 2008 թվականից համալրում էր այն 2000 տարբեր արտահոսքերի տվյալներով։ Որոշ գրանցումներ Collection #1-ում են հայտնվել բոլորովին վերջերս։ Տարօրինակ է, որ բազա չեն մտել այնպիսի հայտնի արտահոսքերի մուտքանուններն ու գաղտնաբառերը, ինչպիսին են LinkedIn-ի 2012 թվականի դեպքը և Yahoo-ի երկու արտահոսքերը («Կասպերսկի Լաբորատորիա»-ն գրել է Yahoo-ի և՛ առաջին, և՛ երկրորդ արտահոսքի մասին)։ Ինչպես իմանալ, կա՞ն արդյոք որոշակի օգտատիրոջ տվյալները Collection #1-ում Օգտատերը Collection #1-ում իր տվյալները կարող է որոնել haveibeenpwned.com կայքում։ Իմանալու համար, թե գողացված տվյալների որ բազայում է (որոնք, իհարկե, հայտնի են ծառայության հեղինականերին) հայտնվել այս կամ այն e-mail-ը, պարզապես անհրաժեշտ է այն մուտքագրել համապատասխան դաշտ։ Եթե օգտատիրոջ էլեկտրոնային հասցեն հայտնվել է Collection #1-ում, կայքը կհայտնի նրան այդ մասին։

Եթե ոչ, ապա նրա բախտը բերել է, և հարցը կարելի է համարել փակված։ Եթե հաջողությունը շրջանցել է նրան, ապա նա պետք է պատրաստվի արկածների։ Ի՞նչ անել, եթե հաշվեգիրը կա Collection #1-ի տվյալների բազայում Այսպիսով, օգտատիրոջ e-mail-ը հայտնվել է գողացված տվյալների հավաքածուում։ Ցավոք, haveibeenpwned.com-ը չի հուշի, թե հենց որ հաշվեգիրն է տուժել. չէ որ օգտատերը կարող էր այդ փոստարկղն օգտագործել բազմաթիվ կայքերում՝ կրիպտոարժույթների ֆորումում, էլեկտրոնային գրադարանում, կատու սիրողների առցանց-հանրությունում և այլ ցանկացած կայքում գրանցվելու համար։ Նա ունի գործելու երկու տարբերակ, և ընտրությունը կախված է նրանից, թե օգտագործել է նա միևնույն գաղտնաբառը մի քանի ծառայությունների համար, թե՝ ոչ։ Առաջին տարբերակ. օգտատերը միևնույն գաղտնաբառն օգտագործում է մի քանի հաշվեգրերում, որոնք կապակցված են մեկ փոստարկղի։

Այս դեպքում ջանք թափելու կարիք կլինի. նա պետք է փոխի գաղտնաբառերն ամենուրեք, որտեղ օգտագործվել է այդ չարաբաստիկ e-mail-ը։ Այո՛, յուրաքանչյուր կայքում։ Հարկ է չմոռանալ, որ գաղտնաբառերը պետք է երկար և ունիկալ լինեն։ Հասկանալի է, որ եթե օգտատերը սովոր է օգտագործել միևնույն գաղտնաբառը բոլոր կայքերում, ապա նա կդժվարանա հիշել մեծ թվով գաղտնաբառերը։ Այս դեպքում նրան օգնության կգա գաղտնաբառերի մենեջերը։ Երկրորդ տարբերակ. օգտատերն ունիկալ գաղտաբառեր է օգտագործում բոլոր հաշվեգրերի համար, որոնք կապակցված են մեկ փոստարկղի։ Սա մեծ չափով պարզեցնում է խնդիրը։ Կարելի է վարվել, ինչպես առաջին դեպքում՝ փոփոխելով բոլոր գաղտնաբառերն անխտիր։ Բայց դրա անհրաժեշտություն իրականում չկա։ Սկզբում արժե ստուգել գաղտնաբառերը Pwned Passwords-ի՝ haveibeenpwned-ի ևս մեկ օգտակար գործառույթի օգնությամբ։

Բավական է մուտքագրել օգտատիրոջ հաշվեգրերից մեկի գաղտնաբառն իմանալու համար, թե պահպանվում է արդյոք այն ծառայության տվյալների բազայում սովորական տեքստի կամ խեշի տեսքով։ Եթե haveibeenpwned-ը ցույց տա, որ նրա գաղտնաբառն արտահոսքի արդյունքում գողացվել է գոնե մեկ անգամ, ավելի լավ է փոխել այն։ Եթե ոչ, ապա ամեն ինչ կարգին է և կարելի է անցնել մյուս գաղտնաբառի ստուգմանը։ Եթե չկա haveibeenpwned-ին կուրորեն վստահելու և կայքին գաղտնի տվյալները հայտնելու ցանկություն, ապա կարելի է գաղտնաբառի փոխարեն նրա որոնման դաշտ մուտքագրել դրա SHA-1 խեշը։ Ծառայությունը ցույց կտա նույն արդյունքը։ Համացանցում կան մեծ թվով ռեսուրսներ, որոնք տրամադրում են ցանկացած տեղեկատվության SHA-1 խեշը։

Մի քանի խորհուրդ այն մասին, թե ինչպես առավելագույնս պաշտպանվել և չդառնալ հերթական արտահոսքի զոհ

Վերջին մի քանի տարիներին տեղի են ունեցել մեծ թվով արտահոսքեր, և չկա որևէ հիմք ենթադրելու, որ դրանց թիվը կփոքրանա, ամենից հավանական է՝ տեղի կունենա հակառակը։ Collection #1-ի նմանակները պարբերաբար ազատ հասանելի կդառնան, և կիբեռհանցագործները նախկինի պես ուրախ կլինեն ձեռք գցել այլոց գաղտնաբառերը և մուտքանունները։ «Կասպերսկի Լաբորատորիա»-ի փորձագետներն առաջարկում են կիրառել մի քանի հասարակ նախազգուշական միջոց, որպեսզի օգտատիրոջ  տվյալները չհայտնվեն չար ձեռքերում. Օգտագործել երկար և ունիկալ գաղտնաբառ յուրաքանչյուր հաշվեգրի համար։ Եթե որևէ ծառայությունից արտահոսք տեղի ունենա, օգտատիրոջն անհրաժեշտ կլինի փոխել ընդամենը մեկ գաղտնաբառ. մյուս հաշվեգրերը չեն տուժի։շ

Միացնել մուտքի երկգործոն ստուգում ամենուրեք, որտեղ հնարավոր է։ Այդպես ցանցահենները չեն կարողանա մտնել օգտատիրոջ հաշվեգիր՝ նույնիսկ գիտենալով նրա մուտքանունը և գաղտնաբառը։ Օգտագործել պաշտպանական լուծումներ, որոնք կարող են օգտատիրոջը զգուշացնել արտահոսքերի մասին։ Նման գործառույթ ունի, մասնավորապես, Kaspersky Security Cloud-ը։ Օգտագործել գաղտնաբառերի մենեջեր, որտեղ կարելի է ստեղծել և պահել հուսալի և ունիկալ գաղտնաբառեր՝ դրանք չհիշելու համար։ Որոշ մենեջերներում նաև կա գաղտնաբառի արագ փոփոխման գործառույթ։ Օրինակ, Kaspersky Password Manager-ն արդյունավետ կերպով կարողանում է լուծել բոլոր թվարկված խնդիրները»,- ասված է հաղորդագրության մեջ:։