Как работает логин-пароль и в какой момент хакеры могут украсть эти данные
Также у паролей есть ещё одна уязвимость — при взломе сайта, связанного с другими веб-сервисами или приложениями, злоумышленники получают доступ к информации на сторонних сайтах. Но этот метод кражи логинов и паролей — через взлом более уязвимых ресурсов — применяется чуть чаще.
При вводе пароля и логина хэш проверяется сперва логин. Если введённый логин существует, то система берёт пароль, возможно, уже захэшированный, и сравнивает его с тем, который есть во внутренней базе данных пользователей. Далее многие сайты используют для передачи трафика и информации не пару логин-пароль, а их хэши.
Противодействие методу: в общем, надеюсь, вы поняли, что «tanyushka1990» — это плохой пароль, даже если Танюшка это не вы, а ваша любимая внучка. Используйте не угадываемые интуитивно пароли. Периодически (не реже раза в год) меняйте пароли хотя бы к критичным аккаунтам.
Социальная инженерия понятие достаточно широкое. Социальный инженер может взаимодействовать с жертвой как лично, так и по телефону, но чаще всего взаимодействует по электронным каналам связи — мессенджеры, соцсети, электронная почта. И здесь мы не будем рассматривать методы социнженерии как таковые, тут я лучше посоветую почитать классику жанра — книгу В. Саймона и К. Митника «Искусство обмана». Здесь нам важно то, что методы социальной инженерии в плане кражи паролей направлены на то, чтобы заставить жертву саму отдать свой пароль. Один из примеров выглядит так: злоумышленник представляется новым системным администратором и говорит сотруднику вашей организации, что ему нужен пароль от электронной почты этого сотрудника для проведения каких-нибудь сферических вакуумных тестов. Другой пример, когда личный контакт злоумышленника с жертвой отсутствует: веерная рассылка с фишинговой ссылкой и тревожным сообщением (например, на ваш аккаунт нажаловались, его заблокировали и вам «нужно» пройти по ссылке для разблокировки). Фишинговая ссылка ведет на страницу, заранее подготовленную злоумышленником и один в один похожую на страницу авторизации какого-нибудь популярного сервиса, например: vk.com, gmail.com, facebook.com и т. д. Что происходит дальше: жертва, думая, что это легальный сервис, вводит свой логин и пароль, эти идентификационные данные отправляются злоумышленнику, выдается сообщение об ошибке (ну кто из нас никогда не ошибался при вводе пароля? всякое бывает!) и далее пользователь перенаправляется на настоящую страницу авторизации, ведь грязное дело уже сделано и жертву нет смысла держать на поддельной странице. Кстати, если кто-то еще не знает, почему Windows просит нажать сочетание клавиш Alt-Ctrl-Del перед входом в систему, настоятельно советую загуглить и почитать.
Как действуют хакеры, воруя ключи и пароли
- Секретные пути к API. Речь идёт о незащищённых конечных точках API, сведения о которых, как думал разработчик, никогда не попадут в общий доступ. Хотя те пути, которые обнаружит хакер, могут оказаться для него бесполезными, эти пути способны помочь в понимании структуры API проекта и принятых в нём соглашений по устройству API. После того, как код сайта уходит в продакшн, у разработчика уже нет способов скрыть этот код от любопытных взглядов. Об этом очень важно помнить.
- Сведения для доступа к панелям администраторов веб-проектов. Эти данные, так же как и сведения о конечных точках API, оказываются в открытом доступе по разным причинам. Они часто становятся объектом интереса хакеров, которые находят и используют их. Открытые панели администрирования, в основном, можно обнаружить в проектах больших организаций. Такие панели создают команды, ответственные за ИТ-инфраструктуру. Рекомендуется периодически проверять такие панели и анализировать их на предмет того, какие возможности по доступу к системам они дают тому, кто ими пользуется. Например, недавно взломали одного производителя автомобильного оборудования, воспользовавшись дырой в подобной панели. Оказалось, что для проникновения в систему достаточно было убрать s из https .
Если вы хотите углубиться в эту тему, а я рекомендую это сделать, то, прежде чем давать вам краткий список строк, используемых для поиска ключей и паролей на GitHub, предлагаю ознакомиться с этим ценнейшим материалом, написанным талантливым исследователем безопасности систем. Он рассказывает о том, как, что и где искать на GitHub, как пользоваться дорками, детально расписывает ручной процесс поиска секретных данных.
Например, злоумышленник может «обманывать» веб-сайт, маскируясь под страницу входа на сайт, которую обычно посещает пользователь, а затем направляет свою жертву на страницу.
Если пользователь вводит свою регистрационную информацию на поддельную страницу, злоумышленик получет данные пользователя.
Атаки с помощью спуфинга проще выполнить, чем может показаться на первый взгляд.
Любой, кто контролирует настройки конфигурации сети, может легко перенаправить посетителей на поддельную версию любого сайта, который он пожелает, изменив конфигурации DNS.
Иногда также возможно «отравлять» кэши DNS в сетях, чтобы выполнять атаки спуфинга, даже без прямого управления сетевыми настройками.
Лучший способ избежать атаки с помощью спуфинга — это подключение только к сетям, которым вы доверяете. Например, атаки спуфинга — это одна из причин, почему вы не должны подключаться к случайным сетям в аэропортах.
Любой пользователь может настроить точку доступа с таким сетевым именем, как «Free Wifi», а затем использовать spoofing для кражи паролей.
Вы также можете помочь устранить «отравление» DNS и другие уязвимости, постоянно обновляя свои маршрутизаторы и другое сетевое ПО, а также запуская программное обеспечение для обнаружения вторжений в сети.
Наконец, вы должны серьезно отнестись к предупреждениям в своем веб-браузере о недействительных сертификатах при посещении сайтов с профессиональным обслуживанием, сертификаты которых должны быть правильно настроены.
Обычно проблемы с сертификатами встречаются на многих плохо обслуживаемых веб-сайтах, просто потому, что администраторы не создают правильные сертификаты, а не из-за фактическойподмены.
По этой причине пользователи, к сожалению, привыкли игнорировать предупреждения о проблемах с сертификатами, которые часто являются признаком атаки-подмены.
Полный перебор относится к практике попытки подбора всех возможных комбинаций букв и цифр, пока не подберется тот, который соответствует паролю.
Лучший способ смягчить атаки с использованием грубой силы — это сделать так, чтобы ваши пароли были длинными (восемь символов часто предлагаются как минимум, но лучше всего сделать пароль до возможной допустимой длины) и не использовались слова или фразы.
Чем длиннее ваш пароль, тем больше количество возможных комбинаций, которые атакующий должен будет попробовать, чтобы подобрать ваш пароль.
И, избегая часто используемых слов и фраз, вы гарантируете, что ваш пароль не может быть подобран, запуском списка общих паролей. Атакующие часто используют эти списки во время атак грубой силы. Однако, вычислительная мощность растет все больше, так же как и способность атакующих развертывать подобные атаки. То, что считается достаточно длинным паролем сегодня, может быть небезопасным в будущем, потому что завтрашние компьютеры смогут проверять возможные пароли быстрее, чем сегодня.
Подборка кодов доступа относится к атакам грубой силы, или метод Brute Force. Это распространенная практика среди компьютерных злоумышленников. Еще недавно эти атаки представлялись как перебор всех возможных комбинаций определенного символьного набора, используемых для составления паролей заданного размера. Сейчас хакерам намного проще взламывать защитные шифры пользователей, используя программы для подбора пароля вк.
По данным проанализированных за последние несколько лет утекших паролей можно сказать, что большая часть из них является неуникальными. А что еще более примечательно, процент сайтов, которые посещают неопытные пользователи, очень маленький и придумать пароль отличающийся от других — не составил бы для них труда.
Также стоит отметить, что на андроиде взломать можно только оффлайн игры (не требующие доступ в интернет) и практически невозможно взломать онлайн-игры, такие как Clash of clans, Game of war, Boom beach и так далее. Связано это с тем, что все программы для взлома совершают подмену данных внутри самого устройства, а онлайн игры хранят данные на сервере, а не в устройстве. Если даже вам и удастся взломать online игру, то скорее всего после соединения с сервером данные восстановятся к предыдущим значениям или вы просто получите бан.
Третий способ, простой, но не желательный. Вы можете сбросить состояние устройства до заводского. На каждом устройстве свой механизм сброса (почитайте инструкцию), но обычно нужно выключить телефон, затем одновременно зажать клавишу громкости и клавишу “домой” (а иногда и 3ю клавишу). После чего на экране появится системное меню в котором нужно выбрать пункт — Wipe data / factory reset, а затем согласится с рисками. Далее начнется удаление всех данных с телефона (возврат к заводским настройкам). Затем, после окончания сброса, выберите пункт Reboot System (перезагрузка устройства).
Помните, что после сброса все личные данные и установленные приложения будут удалены. Телефон или планшет окажется таким же, каким вы принесли его из магазина.
Для протокола HTTPS дополнительно настраиваются правила межсетевого экрана, обеспечивающие защиту от взлома и корректное шифрование. Когда этот протокол только появился, любой сотрудник отдела безопасности компании мог допустить ошибку, но сейчас есть огромное количество материалов и уже разработанных фаерволов, которые позволяют изначально правильно настроить HTTPS, исключив возможность случайного появления уязвимостей.
На сегодняшний день можно назвать сразу несколько актуальных методов воровства паролей, от части которых пользователь в состоянии защититься самостоятельно, просто проявив немного внимания и осторожности. Остальные методы напрямую зависят от надежности сервера и непосредственных целей хакеров.
Nbsp            Лаборатория информационной безопасности
Прекрасная возможность для социальной инженерии (приносите другу на флешке файл-игру / презентацию, да можно даже просто документ ворд (о том, как создать exe-ик, запускающий конкретный word/excel-файл расскажу в одной из следующий своих статей), запускаете, всё хорошо и прекрасно, однако же друг невидимо уже заражён!). Либо же просто шлёте этот файлик другу по почте (лучше ссылку на его скачивание, т.к. современные почтовые сервера запрещают отправку exe-файлов). Конечно, риск от антивирусов при установке всё же имеет место быть (зато его не будет после установки).
- Администраторский доступ к удалённому компьютеру.
При чём это совсем не обязательно именно физический доступ. Вы вполне можете зайти туда через RDP (службу Удалённого рабочего стола); TeamViewer; AmmyAdmin и т.д.
Как правило, с этим пунктом связаны самые большие сложности. Однако же я недавно писал статью о том, как получить права администратора в Windows. - Анонимный e-mail / ftp (по которому Вас не вычислят).
Конечно, если Вы ломаете соседу тётю Шуру, этот пункт можно смело опустить. Как и в случае, если у Вас компьютер жертвы всегда под рукой (аля, узнать пароли брата / сестры). - Отсутствие рабочих антивирусов / внутренних систем защиты Windows.
Большинство публичных кейлоггеров (о которых и пойдёт речь ниже) известны подавляющему большинству антивирусного ПО (хотя есть такие вирусы-логгеры, которые встраиваются в ядро ОС или системный драйвер, и антивирусы уже не могут их ни обнаружить, ни уничтожить, если даже обнаружили). В силу вышесказанного, антивирусное ПО, если таковое имеется, придётся безжалотсно уничтожить. Кроме антивирусов, опасность для нашей программы-шпиона представляют также системы типа Защитник Windows (таковые впервые появились в Windows 7 и далее). Они отлавливают подозрительную активность работающего на компьютере ПО. О том, как же от них избавиться можно без труда найти в гугле.
На «ВКонтакте.РУ» и «Одноклассниках» сейчас зарегистрировано множество неопытных пользователей, которые могут легко стать жертвой злоумышленников. 99% так называемых «взломщиков» в действительности ничего не взламывают, то есть не пользуются уязвимостями на ВКонтакте.РУ или вашей почте. Их там мало, они не общеизвестны, а тем, кто их находит, неплохо платят. Тот же Павел Дуров, по слухам, выдает несколько сотен баксов за найденные уязвимости на ВКонтакте.РУ. Итак, каковы самые распространенные способы «взлома» учетных записей, кражи паролей, почтовых ящиков, как их избежать и как действовать, если это все-таки случилось?
Статьи по теме: «Информационная безопасность»
- «В нашем сервисе произошел сбой, возможна утечка конфиденциальных данных. В целях безопасности просим вас сменить пароль, пройдя по данной ссылке. »
- «Недавно мы зафиксировали несколько попыток войти в вашу учетную запись с зарубежного IP-адреса. Пройдите, пожалуйста, по заданной ссылке для подтверждения личности. »
- «Данные вашей учетной записи устарели. Если вы не хотите, чтобы ваш аккаунт был удален, пройдите авторизацию. »
Для скептиков приведем статистику, собранную специалистами «Лаборатории Касперского» на основе данных от пользовательских антивирусных приложений. В 2013 году более 35% попыток зайти на поддельные веб-страницы были связаны с фишинговыми атаками на пользователей социальных сетей, основная доля переходов (22%) пришлась на Facebook. Количество фишинговых атак, приходящихся на платежные системы, было меньше — 31,5%, из которых 22% — для сайтов банков. Еще 23% атак приходилось на почтовые сервисы. Можно сказать, что «прямые» пути к деньгам используются фишерами лишь в каждой третьей атаке.
В основном все рекомендации из сети на этом поле являются откровенным бредом. Моя рекомендация – введите в Google Play или App store что-то вроде «взлом wi-fi», и вам вывалится целая подборка программ. А там уже смотрите по отзывам и не ставьте всякую фэйковую дрянь. Основные категории софта здесь:
- 272 Неправомерный доступ к компьютерной информации
- 273 Создание, использование и распространение вредоносных компьютерных программ
- 274 Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей
По мере того, как интернет-сервисы усложняют свои системы безопасности, совершенствуются и способы их обхода. Как сообщается, поскольку для доступа к аккаунту не всегда достаточно логина и пароля, 82% фишинговых инструментов и 74% кейлоггеров помимо паролей пытались также скопировать IP пользователя и установить его местонахождение, еще 18% – номер телефона и модель устройства.
Второе место по количеству краж занял фишинг — получение защищенной информации с помощью поддельных сообщений от источников, которым пользователь доверяет, и поддельных сайтов, требующих ввода логина и пароля; внешне похожих на оригинальные ресурсы. От таких действий пострадали 12 миллионов пользователей.
Как происходит кража паролей в интернете
Так, личная переписка либо скрытые от посторонних взглядов фотографии могут послужить отличным материалом для шантажа. Атака на коммерческие организации может сопровождаться потерей клиентской базы. Среднестатистический же пользователь может запросто по незнанию предоставить злоумышленникам данные своей кредитной карты либо паспортные данные, в результате чего на человека запросто могут оформить кредит.
Довольно часто вредоносный софт «скрывается» в бесплатном софте, выложенном в сети. Таким образом на компьютер пользователя попадают троянские программы, которые любезно предоставляют пароли пользователя хакерам. Вредоносный код может размещаться даже на популярных и, казалось бы, хорошо защищенных веб-ресурсах.
Третий способ кражи связан с процедурой восстановления забытого пароля. Так проще всего украсть пароль у знакомого человека, например, забывшего на столе в офисе свой мобильный телефон. Однозначного способа уберечься от такой кражи нет. Однако следует помнить, что восстановление пароля чаще всего связано с его заменой, поэтому если ваш пароль вдруг изменился без вашего ведома, скорее всего, он был украден.
Вчера стало известно огромной утечке паролей почтового сервиса Mail . ru , за несколько дней до этого на Яндекс Почте. О том, почему такое происходит, и как можно уберечься от утечки данных в публичный доступ рассказал Александр Зацепин, исполнительный директор компании StarForce , запустившей собственный сервис электронной защищенной почты этим летом.
3. Еще один из самых распространённых способов кражи личных данных – это троянские программы. В любой исполнительный файл внедряется специальный код, который активируется на вашем компьютере и начинает запоминать всю информацию, которую вы вводите в различные текстовые поля. Затем, когда необходимый объём данных собран, он высылает его по определённому адресу, который запрограммирован в трояне изначально. Причём вы даже можете не узнать об этом, так как после этого он может самостоятельно удалиться с вашего компьютера. Единственный способ защититься от этого бедствия – это хорошие антивирус, антишпион и файервол (не надо пугаться, все эти программы уже давно и довольно часто встроены в один пакет, например, Касперский или Нод 32) и собственная осторожность.
2. Кража электронных денег. Ситуация подобна вышеизложенной. Здесь надо помнить о том, что пароль от систем электронных платежей восстанавливается только на их собственных сайтах. Кстати говоря, вам могут прислать ссылку на фишинговый сайт (выглядит так же, но на самом деле принадлежит мошенникам). Будьте внимательны, сверяйте адрес сайта вплоть до буквы и знака – тогда никто и никогда не сможет вас обмануть.
