I denne artikkelen - detaljert informasjon om hvilke metoder som kan brukes til å hacke tilpassede passord og hvorfor du er sårbar for slike angrep. Og på slutten finner du en liste over online-tjenester som lar deg finne ut om passordet ditt allerede er kompromittert. Det vil også være (allerede der) den andre artikkelen om emnet, men jeg anbefaler å lese lesing fra den nåværende anmeldelsen, og deretter gå til neste.
Oppdatering: Klar Følgende materiale er sikkerheten til passord, som beskriver hvordan du maksimerer kontoene og passordene til dem.
Hvilke metoder brukes til å hack passord
For hacking passord, er det ikke så et bredt spekter av ulike teknikker. Nesten alle av dem er kjent, og nesten ethvert kompromiss med konfidensiell informasjon oppnås ved bruk av individuelle metoder eller kombinasjoner derav.Phishing
Den vanligste måten som i dag er "ledende" passord for populære posttjenester og sosiale nettverk, er phishing, og denne metoden fungerer i en meget stor andel av brukerne.
Essensen av metoden er at du faller på, som du tror, et kjent nettsted (samme gmail, vc eller klassekamerater, for eksempel), og av en eller annen grunn blir du bedt om å skrive inn ditt brukernavn og passord (for Oppføring, bekreftelse på noe, for hans skifte, etc.). Umiddelbart etter at passordet ditt viser seg å være på inntrengere.
Hvordan dette skjer: Du kan motta et brev, angivelig fra støttetjenesten, som rapporteres på behovet for å angi kontoen, og lenken er gitt, når du går til hvilken siden åpnes, nøyaktig kopiert original. Et alternativ er mulig Når etter en tilfeldig installasjon av uønsket programvare på en datamaskin, endres systeminnstillingene på en slik måte at når du skriver inn adressen i adresselinjen, faller du faktisk på phishing-nettstedet på nøyaktig samme måte.
Som jeg nevnte, kommer mange brukere over dette, og vanligvis er det forbundet med uoppmerksomhet:
- Ved mottak av brevet, som i en form eller en annen tilbyr deg å angi kontoen din på et bestemt nettsted, ta hensyn til om det er sendt fra adressen til posten på dette nettstedet: lignende adresser brukes vanligvis. For eksempel, i stedet for [email protected], kan være [email protected] eller noe lignende. Den riktige adressen garanterer imidlertid ikke alltid at alt er i orden.
- Før du skriver inn passordet ditt, se nøye i adresselinjen i nettleseren. Først av alt bør det spesifiseres at nettstedet du vil gå. Men i tilfelle av ondsinnet programvare på datamaskinen, er dette ikke nok. Det bør også betales til tilstedeværelsen av en tilkoblingskryptering som kan bestemmes ved hjelp av HTTPS-protokollen i stedet for HTTP og bildet av "LOCK" i adressefeltet, ved å klikke på hvilken, kan du sørge for at du er på dette nettstedet. Nesten alle seriøse ressurser som krever innlogging for å bruke kryptering.
Forresten, merker jeg at phishing-angrepene og metodene for passordgenerering (beskrevet nedenfor) ikke betyr i dag det omhyggelige kraftige arbeidet til en person (det vil si at han ikke trenger å introdusere en million passord for hånd) - alle gjør det spesielle Programmer, raskt og i store volumer og deretter rapportere om angriperens suksess. Videre kan disse programmene ikke fungere på en hacker datamaskin, og skjult på tusenvis av andre brukere, som til tider øker effektiviteten av hacking.
Valg av passord
Angrep ved hjelp av passordvalg (brute force, uhøflig styrke på russisk) er også tilstrekkelig vanlig. Hvis for noen år siden, var de fleste av disse angrepene virkelig busting av alle kombinasjoner av et bestemt sett med tegn for å kompilere passord av en viss lengde, så for øyeblikket er alt noe enklere (for hackere).Analysen av befolkningen lekket de siste årene de siste årene viser at mindre enn halvparten av dem er unike, mens de på disse nettstedene "lever" overveiende uerfarne brukere, er prosentandelen helt liten.
Hva betyr dette? Generelt, det faktum at hacker ikke trenger å sortere ut ikke-vanlige millioner av kombinasjoner: å ha en base på 10-15 millioner passord (omtrentlig antall, men nær sannhet) og erstatning bare disse kombinasjonene, kan den hacke nesten halvparten av regnskapet på et hvilket som helst nettsted.
I tilfelle av et fokusert angrep på en bestemt konto, i tillegg til databasen, kan enkel byste brukes, og moderne programvare lar deg gjøre det relativt raskt: Passordet med 8 tegn kan bli hacket i løpet av dager (og Hvis disse tegnene er en dato eller en kombinasjon av navn og datoer som ikke er uvanlige - i minutter).
Merk: Hvis du bruker samme passord for forskjellige nettsteder og tjenester, så snart som passord og tilsvarende e-postadresse vil bli svekket på noen av dem, ved hjelp av spesielle for den samme kombinasjonen av brukernavn og passord, vil det bli testet på hundrevis av andre nettsteder. For eksempel, umiddelbart etter lekkasje av flere millioner passord Gmail og Yandex på slutten av fjoråret, bølgen av hacking Opprinnelsesland regnskap, Steam, Battle.net og Uplay (tror jeg, og mange andre, bare appellerte til meg med den angitte gaming tjenester).
Hacking nettsteder og motta hash passord
De fleste av de alvorlige områder ikke lagre passordet ditt i den form som du vet det. Bare hash er lagret i databasen - resultatet av å anvende en irreversibel funksjon (det vil si fra dette resultatet kan ikke hentes fra passordet ditt igjen) til passordet. Ved inngangen til området, er hash beregnet på nytt, og hvis det faller sammen med det som er lagret i databasen, så du har skrevet inn passordet riktig.
Som det er lett å gjette, er det Hashi, og ikke passordene selv bare av sikkerhetsmessige grunner - slik at med en potensiell hacking og mottak av databasen angriper, kunne han ikke bruke informasjonen og finne ut passord.
Men ganske ofte, for å gjøre det den kan:
- For å beregne den hash er visse algoritmer anvendes, for det meste kjente og vanlige (dvs. alle kan bruke dem).
- Å ha baser med millioner av passord (fra punktet om bust), har angriperen også tilgang til hash av disse passordene er beregnet av alle tilgjengelige algoritmer.
- Kartlegging informasjon fra de mottatte database og hashing passord fra sin egen base, kan du finne ut hvilken algoritme brukes og anerkjent reelle passord for en del av oppføringene i databasen ved enkel sammenligning (for alle undesiotic). Og hjelp av slokke vil hjelpe deg å finne ut resten av de unike, men korte passord.
Som du kan se, markedsføring påstander om ulike tjenester som de ikke lagre passordene dine på deres hjemmeside, ikke nødvendigvis beskytte deg mot hans lekkasje.
spyware spyware
Spyware eller spyware - et bredt spekter av skadelig programvare som er hiddenly installert på en datamaskin (også spionere funksjoner kan bli inkludert i en slags nødvendig programvare) og samle informasjon om brukeren.Blant annet individuelle typer spyware, for eksempel, kan keyloggers (programmer som sporer tastene du klikker) eller skjulte trafikkanalyse brukes (og brukes) for å få tilpassede passord.
Social Engineering og Password Recovery Spørsmål
Ifølge Wikipedia, forteller sosialteknikk oss - metoden for tilgang til informasjon basert på særegenheter i psykologien til en person (her kan tilskrives og nevnes ovenfor phishing). På internett kan du finne mange eksempler på å bruke sosialteknikk (jeg anbefaler å søke og lese - det er interessant), hvorav noen slår seg av deres eleganse. Generelt er metoden redusert til det faktum at nesten all informasjon som trengs for å få tilgang til konfidensiell informasjon, kan oppnås ved hjelp av menneskelig svakhet.
Og jeg vil bare gi et enkelt og ikke spesielt elegant husstandseksempel relatert til passord. Som du vet, på mange steder for å gjenopprette passordet, er det nok å introdusere et svar på testspørsmålet: På hvilken skole studerte du, mors mors navn, kallenavnet til et kjæledyr ... selv om du har Ikke lenger plassert denne informasjonen i åpen tilgang på sosiale nettverk, som du tror det er vanskelig vilje med hjelp av de samme sosiale nettverkene, som er kjent med deg, eller spesielt blir kjent, får du ikke slike opplysninger?
Hvordan finne ut hva passordet ditt var hacket
Vel, på slutten av artikkelen, flere tjenester som lar deg finne ut om passordet ditt har blitt hacket ved å forene e-postadressen din eller brukernavn med passorddatabaser som har vært i hackertilgang. (Jeg overrasker meg litt som blant dem for mye prosentandel av databaser fra russisktalende tjenester).
- https://haveiBeenpwned.com/
- https://breachalarm.com/
- https://pwnedlist.com/Query.
Har du oppdaget kontoen din i listen over kjente hackere? Det er fornuftig å endre passordet, men mer detaljert om sikker praksis i forhold til konto passord vil jeg skrive i de kommende dagene.