Lekkinud? Kontrollimine ja taastamine

Moodul 2: Paroolid ja sisselogimine · Lugemisaeg: 10 minutit

Õpieesmärk: Pärast seda õppetundi oskad ise kontrollida, kas su andmed on mõnes lekkes, reageerida õiges järjekorras lekkele ning saada ülevõetud konto tagasi ja koristada see üle.

Põhimõisted: Have I Been Pwned, k-anonüümsus, lekketeated, seansside tühistamine, seansiküpsis, taasteandmed, edasisuunamisreeglid

Kuidas sa kuuled, et midagi on lekkinud

Sageli sa ei kuulegi seda. Lekkinud parool võib kuude kaupa olla kombineeritud loendis, enne kui keegi seda proovib. Seetõttu jälgi neid märke:

• Mõni teenus saadab kirja, et toimus andmeleke. Kontrolli kõigepealt, kas see kiri on ehtne (moodul 3): mine ise saidile, selle asemel et klõpsata lingil.
• Saad sisselogimiskoodi või kinnitusteate, mida sa ise ei taotlenud (õppetund 2.3).
• Näed teadet "uus sisselogimine tundmatust seadmest".
• Kliendid või kolleegid saavad kummalisi kirju "sinult", või sul on puudu kiri, mis siiski saadeti.
• Su paroolihaldur hoiatab, et parool esineb lekkes.
• Sa ei saa enam äkki sisse logida, või su taasteandmed on muutunud.

Kontrolli ise Have I Been Pwned abil

Have I Been Pwned (haveibeenpwned.com) on tuntud tasuta teenus, mis kogub andmeid avalikult teadaolevatest andmelekketest. Seal saad ise otsida oma e-posti aadressi järgi. Näed siis, millistes lekketes see aadress esineb ja mis liiki andmed sellega kaasnesid: ainult e-posti aadressid, või ka paroolid, nimed, telefoninumbrid või aadressid. Funktsiooniga "Notify me" saad kirja, kui su aadress ilmub uues lekkes.

Tee seda ise, teenuse enda saidil. Selles kursuses ei palu me sul kunagi kuhugi oma e-posti aadressi ega parooli sisestada.

Olemas on ka osa Pwned Passwords, mille abil paroolihaldurid ja veebilehed kontrollivad, kas parool on kunagi lekkinud. See töötab k-anonüümsuse põhimõttel: su parool teisendatakse su enda seadmes räsiks (omamoodi sõrmejäljeks) ja teenusesse läheb ainult selle esimesed 5 tähemärki. Teenus saadab tagasi kõik teadaolevad räsid, mis algavad nende 5 tähemärgiga, ning su enda seade kontrollib, kas sinu täielik räsi on nende hulgas. Teenus ei näe seega kunagi su parooli ja ei tea isegi, milline tagasi saadetud sadadest räsidest on sinu oma.

Kaks märkust:

• Kui aadressi loendis pole, ei tähenda see, et oled turvaline. Lekket, mis (veel) pole teada, loendis pole. Infovargad (õppetund 1.4) varastavad ka paroole, mis kunagi avaldatud lekkesse ei jõua.
• Kui aadress on loendis, ei tähenda see, et kõik on kadunud. Vaata, millised andmed lekkisid ja millal. Parool, mida sa enam aastaid pole kasutanud, pole probleem; parool, mida kasutad veel igal pool, aga küll on.

Mida teha kõigepealt pärast lekkimist

Järjekord on tähtis. Kõige tähtsam reegel: kõigepealt oma postkast, sest postkasti abil saab ründaja funktsiooni "unustasin parooli" kaudu üle võtta peaaegu kõik su teised kontod.

Miks tühistada seansse

Kui logid sisse, saab su brauser seansiküpsise: omamoodi ajutise sissepääsuloa, et sa ei peaks iga klõpsu peale uuesti sisse logima. Kellel see küpsis on, on sisse logitud. Ilma paroolita ja ilma teise sammuta.

Täpselt seda varastavad infovargad: mitte ainult su paroole, vaid ka su küpsiseid. Ja ründaja, kes on sinu parooliga sisse loginud, omab ka seanssi. Kui vahetad ainult parooli, jääb see seanss mõnes teenuses lihtsalt tööle.

Seepärast vaatad pärast lekkimist või kummalist sisselogimist iga olulise teenuse juures üle aktiivsete seansside või seadmete loendi ning logid välja kõik, mida sa ei tunne ära, või kõik peale selle seadme, millega sa parasjagu töötad. Paljudes teenustes logib uus parool su ka kõikjal välja; kontrolli seda siiski.

Edasisuunamisreegel kui tagauks

Juhtum, nagu see tavaliselt käib. Pagarikoja Example raamatupidaja klõpsab andmepüügikirjal ja sisestab oma postkasti parooli. Ründaja logib sisse aadressil factuur@example.com ja teeb kolm asja:

1. Ta loob reegli: iga kiri, mille pealkirjas on "factuur", "betaling" või "IBAN", suunatakse edasi välisele aadressile leverancier-administratie.example ja seejärel saadetakse prügikasti.
2. Ta seab oma enda telefoninumbri taastenumbriks.
3. Ta logib uuesti välja.

Raamatupidaja märkab, et midagi on valesti, ja vahetab oma parooli. Lahendatud, arvab ta. Kuid reegel jääb toimima. Ründaja loeb nädalaid kaasa iga arvet, ning ühel päeval saab klient "muudetud" arve teise IBAN-iga (õppetund 1.2). Taastenumbri kaudu saab ta konto ka hiljem tagasi võtta.

Seepärast kontrolli postkastis alati:

• reegleid ja filtreid: eriti edasisuunavaid või kustutavaid reegleid;
• edasisuunamist postkasti seadetes ja oma majutuspaneelis;
• automaatvastuseid, mida sa ise pole loonud;
• rakendusparoole ja ühendatud rakendusi: eemalda see, mida sa ei tunne ära;
• taasteandmeid ja kaheastmelise autentimise seadmete loendit.

Kui konto on tõesti üle võetud

Kui sa ei pääse enam sisse, kasuta ainult teenuse ametlikku taasteprotseduuri. Selle leiad minnes ise saidile, mitte kirjas oleva lingi ega otsingureklaami kaudu. Ole ettevaatlik "taasteabiga", mida sa ise sotsiaalmeedias otsid või mis sinu poole pöördub: need on sageli petturid, kes tahavad sind teist korda tabada.

Pärast seda:

• tee ülaltoodud tabeli sammud 3 kuni 8;
• loo uued taastekoodid ja lülita sisse tugevam teine samm (õppetunnid 2.3 ja 2.4);
• teata pettusest või andmepüügist CERT-EE-le (RIA, https://www.ria.ee/) ja politsei (https://www.politsei.ee/) ning esita avaldus politseile, kui tekkis kahju;
• kirjuta üles, mis juhtus ja millal. Kui asi puudutas klientide andmeid, võib tegu olla andmelekkega (õppetund 8.2).

Praktikas: nii see välja näeb

WebOké keskkonnas näed Minu WebOké juures Sisselogimisandmete all kaarti Aktiivsed seansid, kus iga seansi kohta on näha brauser, süsteem, IP-aadress ja alates millal. Saad ühe seansi välja logida või kõikjal välja logida, välja arvatud seade, mida parasjagu kasutad. Nextcloud'is on Security all ülevaade Apparaten & sessies (Seadmed ja seansid), kus saad seadme ka tühistada või eemalt kustutada. Postkasti edasisuunamist ja filtreid leiad majutuspaneelist ja veebipostist. Teiste pakkujate juures töötab see sarnaselt: otsi "seansid", "seadmed", "turvalisus" või "hiljutine tegevus".

Kokkuvõte

• Kontrolli ise haveibeenpwned.com lehel, kas su e-posti aadress on mõnes teadaolevas lekkes; Pwned Passwords töötab k-anonüümsuse põhimõttel (teenusesse läheb ainult räsi esimesed 5 tähemärki).
• Kui aadressi loendis pole, ei tähenda see, et oled turvaline.
• Pärast lekkimist: kõigepealt postkast, siis seansside tühistamine ning kaheastmelise autentimise ja taasteandmete kontroll.
• Parooli vahetamine ei eemalda edasisuunamisreegleid, rakendusparoole ega varastatud seansse.
• Ülevõetud konto saad tagasi ainult teenuse ametliku tee kaudu.

Test

Ülesanne

Ülesanne D2.5: Sinu enda lekkekontroll ja koristusring. Vaata ise haveibeenpwned.com lehel oma äriotstarbelisi e-posti aadresse ja lülita sisse "Notify me". Vaata üle oma postkasti ja kõige tähtsamate kontode aktiivsed seansid, edasisuunamisreeglid, rakendusparoolid ja taasteandmed ning korista ära see, mida sa ei tunne ära. Märgi kontrollnimekiri ära ja vasta järelemõtlemisküsimustele. Sa ei sisesta kursuses ühtegi e-posti aadressi ega parooli.

Rohkem lugemist

WebOké artiklites toodud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures töötab see sarnaselt.

• WebOké juhend 3.6: Aktiivsete seansside vaatamine ja väljalogimine
• Nextcloudi juhend 3.6: Seadmete ja sessioonide vaatamine, tühistamine või kaugkustutamine
• DirectAdmin juhend 3.7: Turvalised paroolid ja mida teha lekkinud parooli korral
• Nextcloudi sisselogimine ei õnnestu: parool, kood või piirang
• Postkast üle võetud või spämm sinu aadressilt: nii koristad üles
• Have I Been Pwned (otsi ise oma e-posti aadressi järgi): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (inglise keeles, k-anonüümsuse selgitus): https://haveibeenpwned.com/Passwords
• Pettusest ja andmepüügist teatamine: https://www.ria.ee/