Негизги алып салуулар
- Киберкоопсуздук боюнча эксперттер сырсөздөрдүн өзүнөн-өзү мындан ары аккаунттарды коргоо үчүн адекваттуу деп эсептелбеши керектигин сунушташат.
- Колдонуучулар мүмкүн болушунча көп факторлуу аутентификацияны (MFA) иштетиши керек.
- Бирок, ТИМ начар сырсөздөрдү түзүү үчүн шылтоо катары колдонулбашы керек.
Онлайн кызмат провайдериңиз серверлериндеги туура эмес конфигурациядан улам эсептик дайындарыңызды сыртка чыгарып салганда, эң күчтүү сырсөздөр жана эң катаал сырсөз саясаттары анча деле пайдалуу эмес.
Эгер мындай жагдай сейрек кездешет деп ойлосоңуз, 2021-жылдагы эң чоң маалыматтардын агып чыгышы кызмат көрсөтүүчүлөр тарабынан техникалык катачылыктарга байланыштуу болгонун билиңиз. Чынында, 2021-жылдын декабрында киберкоопсуздук боюнча эксперттер мындай туура эмес конфигурацияны Amazon Web Services'тин Sega компаниясына таандык S3 чакасына туташтырууга жардам беришкен, анда ар кандай купуя маалыматты, анын ичинде сырсөздөрдү камтыган.
"Сырсөздү колдонуу эскирип, аккаунттарга кирүүнүн ар кандай жолдорун издешибиз керек", - деди коопсуздук сатуучу Гурукулдун башкы директору Сарю Найяр Lifewireге электрондук почта аркылуу.
Сырсөздөрдүн көйгөйү
Декабрда The Sun Улуу Британиянын Кылмыштуулукка каршы күрөшүү боюнча улуттук агенттиги (NCA) иликтөө учурунда аныктаган популярдуу Have I Been Pwned (HIBP) кызматына 500 миллиондон ашык сырсөз бергенин кабарлады.
HIBP колдонуучуларга сырсөздөрү бузулганда ачыкка чыгып кеткенин жана хакерлер тарабынан кыянаттык менен пайдаланылышы мүмкүн экендигин текшерүүгө мүмкүнчүлүк берет. HIBPдин негиздөөчүсү Трой Ханттын айтымында, NCA тарабынан берилген 200 миллиондон ашык сырсөз базада жок болчу.
Бразерлердин каттоо эсебинин эсептик дайындарын сактоо өзгөчөлүгү абдан ыңгайлуу болгону менен… колдонуучуларга аны колдонуудан баш тартуу сунушталат.
Бул көйгөйдүн чоңдугун көрсөтүп турат, бул көйгөй сырсөздөр, адамдын ак ниеттүүлүгүн далилдөөнүн архаикалык ыкмасы. Эгер сырсөздөрдү жок кылуу жана альтернативаларды табуу боюнча иш-аракет кылууга чакыруу болгон болсо, анда бул керек. Бабер Амин, санариптик иденттүүлүк боюнча эксперттердин COO, Veridium NCAнын HIPBге жакында кошкон салымына жооп катары Lifewire электрондук почтасы аркылуу билдирди.
Амин кошумчалагандай, ачыкка чыккан эсептик дайындар учурдагы аккаунттарды гана бузуп койбойт, анткени хакерлер азыр аларды жеке адамдын сырсөздөрдү кантип түзөрүн аныктоо үчүн AI негизиндеги аналитикалык куралдар менен колдонушат. Негизи ачыкка чыгып кеткен эсептик дайындар башка бузулбаган аккаунттардын да коопсуздугуна коркунуч келтирет.
Сырсөздөр жана башкалар
Сырсөзгө караганда жакшыраак коргоо механизмин жактап, Nayyar аккаунттарында көп факторлуу аутентификацияны орнотуу мүмкүнчүлүгү бар колдонуучуларга ушундай кылууну сунуштайт.
Рон Брэдли, Үчүнчү тарап тобокелдиктерди кепилдөө боюнча мыкты тажрыйбаларды иштеп чыгууга жардам берген мүчөлүк уюму, Shared Assessments уюмунун вице-президенти. "Мүмкүн болгон жерде көп факторлуу аутентификацияны күйгүзүңүз, өзгөчө акчаны жылдырган колдонмолор."
Каттоо эсебин сырсөз менен коргоо жалгыз факторлуу аутентификация деп аталат. Көп факторлуу аутентификация же ТИМ мунун үстүнө курулат жана колдонуучулардан башка маалымат сурап кирүү процессине кошумча кадам кошуу менен эсептерди коргойт. Көптөгөн кызматтар, анын ичинде бир нече банктар колдонуучунун банкта катталган мобилдик номерине текшерүү кодун жөнөтүү менен ТИМди ишке ашырат.
Бирок, бул текшерүү механизми SIM алмаштыруу чабуулу деп аталган чабуул механизмине жакын, мында чабуулчулар ээсинин операторун алдап, чабуулчунун SIM картасына номерди кайра дайындоо жолу менен максаттуу мобилдик телефондун номерин көзөмөлдөп алышат.
Кээ бир кардарларын бутага алган мындай чабуулду моюнга алуу менен, T-Mobile SIM-карталарды алмаштыруу чабуулдары кеңири таралган жана жалпы тармакта болгон көрүнүшкө айланганын айтты.
Анын ордуна, ТИМди иштетүү үчүн Duo Security, Google Authenticator, Authy, Microsoft Authenticator жана башка ушул сыяктуу атайын ТИМ колдонмолорун колдонуу жакшыраак.
Сырсөздү жайылтуу
Бирок, биз сүйлөшкөн бардык киберкоопсуздук боюнча эксперттер ТИМди колдонуу сырсөздөрдү коргоо үчүн адекваттуу кадамдарды жасабоо үчүн шылтоо болбошу керектигин эскертишти.
"Банктык сырсөзүнүн эмне экенин билбеген бир пайыздык адамдардын мүчөсү болуңуз, анткени ал өтө узун жана татаал", - деп кеңеш берди Брэдли.
Ал колдонуучулар сырсөзгө келгенде сырсөз башкаргычка инвестициялоону ойлонушу керек деп кошумчалайт. Акысыз сырсөз башкаргычтарынын жетишсиздиги жана веб-браузериңизде орнотулганы бар болгону менен, эксперттер бекер сырсөз башкаргычы такыр жок болгонго караганда жакшыраак деп эсептешет, бирок колдонуучулар аны колдонууда этият болушу керек.
Банктын сырсөзү эмне экенин билбеген бир пайыздык адамдардын мүчөсү болуңуз, анткени ал өтө узун жана татаал.
Бир компаниянын ички тармагынын жакында бузулушун иликтеп жатып, AhnLab киберкоопсуздук боюнча изилдөөчүлөрү компаниянын тармагына кирүү үчүн колдонулган VPN аккаунту алыстан иштеген кызматкердин компьютеринен ачыкка чыкканын аныкташкан.
Бул компьютерге ар кандай кесепеттүү программалар, анын ичинде Google Chrome жана Microsoft Edge сыяктуу Chromium негизиндеги веб серепчилерге орнотулган сырсөздөрдү башкаруучулардан сырсөздөрдү алуу үчүн атайын иштелип чыккан.
"Браузерлердин каттоо эсебинин эсептик дайындарын сактоо өзгөчөлүгү абдан ыңгайлуу болгону менен, кесепеттүү программаны жуктуруп алгандан кийин эсептик дайындардын агып кетүү коркунучу бар, колдонуучуларга аны колдонуудан баш тартуу сунушталат", - деп эскертет AhnLab изилдөөчүлөрү.
