पासवर्ड रिकवरी - हैकर्स, आपका स्वागत है!

हम में से प्रत्येक के पास जीवनकाल में कम से कम एक बार ऐसी स्थिति आती है जब मेल के लिए पासवर्ड भूल जाते हैं, लेकिन आपको अक्षरों को देखना होगा। यहां पासवर्ड रिकवरी प्रक्रिया हमारी सहायता के लिए आती है, जो देखभाल सेवाओं को ऐसे मामलों के लिए विशेष रूप से विकसित हुई है। यह प्रक्रिया सुरक्षा के दृष्टिकोण से सबसे अधिक सवाल उठाती है। जैसा कि यह निकला, व्यर्थ नहीं।

हमारे अनुसंधान केंद्र पॉजिटिव रिसर्च ने देखा कि VKontakte, Facebook, Google, Mail.Ru और Yandex पर उपयोगकर्ता खातों तक अनधिकृत पहुंच प्राप्त करना कितना आसान है। और तकनीकी हमलों के माध्यम से नहीं, बल्कि केवल सामाजिक इंजीनियरिंग के माध्यम से।

विकिपीडिया सोशल इंजीनियरिंग को तकनीकी साधनों के उपयोग के बिना लोगों के प्रबंधन की एक विधि के रूप में वर्णित करता है। हमारे मामले में, यह किसी व्यक्ति की व्यक्तिगत जानकारी तक अनधिकृत पहुंच प्राप्त करने का एक तरीका है, फिर से, बिना किसी विशेष ज्ञान या टूल का उपयोग किए।

बेशक, आप हमेशा एक फ़िशिंग ईमेल भेज सकते हैं और उपयोगकर्ता को उस साइट पर जाने के लिए बाध्य कर सकते हैं जहां वह अपने उपयोगकर्ता नाम और पासवर्ड को उजागर करेगा, या ट्रोजन को टॉस कर सकता है और प्रतीक्षा कर सकता है। कई तरीके हैं। लेकिन हमें किसी और चीज में दिलचस्पी थी। हम यह जांचना चाहते थे कि केवल सार्वजनिक रूप से उपलब्ध जानकारी का उपयोग करके उपयोगकर्ता खाते तक पहुंचना कितना यथार्थवादी है, जो इंटरनेट पर पाया जा सकता है। कोई उपयोगकर्ता सहभागिता नहीं। कोई तकनीकी तामझाम नहीं। कोई शून्य दिन भेद्यता।


वापस भविष्य के लिए। Vkontakte, Google, Mail.Ru

हम इन सभी सेवाओं के खातों तक पहुँचने में सक्षम थे।
Vkontakte और Google के मामले में, यह पता चला कि, उपयोगकर्ता (संपर्क, फोटो, सुरक्षा प्रश्न) के बारे में कुछ जानकारी होने पर, आप आसानी से उसके खाते तक पहुँच सकते हैं।



Vkontakte उपयोगकर्ताओं की सुरक्षा सुनिश्चित करने के लिए काफी ध्यान देता है और पासवर्ड रिकवरी की अपनी विधि के साथ आया है। आपको एक पहचान दस्तावेज़ के स्कैन को प्री-लोड करने के साथ पासवर्ड रिकवरी प्रक्रिया पृष्ठ की पृष्ठभूमि पर एक तस्वीर लेने की पेशकश भी की जाएगी। सब कुछ ठीक होगा, लेकिन सत्यापन के लिए Vkontakte सबसे कमजोर लिंक का उपयोग करता है - एक व्यक्ति। उन्होंने इसके लिए भुगतान किया - पासवर्ड रिकवरी फॉर्म और संपर्क विवरण और समर्थन सेवा के साथ पत्राचार की एक श्रृंखला के परिणामस्वरूप, उपयोगकर्ता के पेज तक पहुंच एक दिन से भी कम समय में प्राप्त हुई।



Google उसी स्थिति के बारे में है। पासवर्ड रिकवरी बहुत आसान है। और Gmail.com खाते तक पहुँच प्राप्त करने के बाद, हम अपने निपटान में उन सभी सेवाओं को प्राप्त कर रहे हैं, जो उपयोगकर्ता Youtube से लेकर Picasa तक काम करता है। उदाहरण के लिए, पासवर्ड पुनर्प्राप्ति प्रक्रिया उस समय शुरू की गई थी जब खाता स्वामी Google सेवाओं के साथ काम करना जारी रखता था: उसने GoogleTalk के माध्यम से बात की थी, एंड्रॉइड मार्केट से फाइलें डाउनलोड की थी। Google की किसी भी चेतावनी के बिना, सेवाओं ने अचानक काम करना बंद कर दिया। इसके अलावा, मोबाइल फोन से बंधे दो-कारक प्राधिकरण भी इस तरह के हमले को रोक नहीं सकते हैं।



Mail.Ru के साथ, स्थिति अधिक जटिल है। यह सेवा अपने उपयोगकर्ताओं के लिए भी अनुकूल है और कई मामलों में उनकी ओर जाती है। एक ओर, यह आनन्दित नहीं कर सकता है, दूसरी ओर, यह हैकर्स के लिए उत्कृष्ट अवसर प्रदान करता है। सार्वजनिक रूप से पर्याप्त जानकारी उपलब्ध नहीं थी। हालांकि, पीड़ित के साथ सीधे आभासी संचार के बाद, जिसने हमें सभी आवश्यक डेटा प्रदान किए, खाते तक पहुंच बिना किसी समस्या के प्राप्त हुई।


भविष्य के लिए आगे। फेसबुक



सोशल नेटवर्क फेसबुक ने सबसे संतुलित दृष्टिकोण दिखाया है, जो उपयोगकर्ता की सुविधा और सुरक्षा के लिए चिंता को जोड़ती है। संरक्षण योजना काफी मानक नहीं है - ई-मेल के लिए बाध्यकारी, फोन पर बाध्यकारी और पेज तक पहुंच बहाल करने के लिए दोस्तों का उपयोग करने की क्षमता। इसके अलावा, दोस्त ऐसे लोग होने चाहिए, जिन्हें आप 1 या 2 दिनों तक नहीं जानते हैं - हम दो सप्ताह की गतिविधि के बाद भी उपयोगकर्ता के विश्वसनीय प्रतिनिधियों की सूची में नहीं आ पाए। उसी मामले में, यदि आपके पास अब मेल और एक गुप्त प्रश्न तक पहुंच नहीं है, तो फेसबुक रिपोर्ट करता है कि यह कुछ भी नहीं कर सकता है। और आपको फिर से पंजीकरण करने की सलाह देता है।




अलग से, मैं यैंडेक्स को उजागर करना चाहूंगा। यह एक महान उदाहरण है कि आपको नट्स को कसने नहीं देना चाहिए। हम पासवर्ड रिकवरी प्रक्रिया के लिए बहुत कठोर आवश्यकताओं के कारण उपयोगकर्ता खाते तक पहुंचने में असमर्थ थे। उदाहरण के लिए, आपने अपना Yandex.Money मेलबॉक्स निकाल लिया है। आपने फोन नहीं बांधा है। गुप्त पासवर्ड याद नहीं था। समर्थन के लिए पासपोर्ट की आवश्यकता होती है। सब छूट गया। और Yandex.Money, और Yandex.Mail।


तो, क्या निष्कर्ष निकाला जा सकता है:

• पासवर्ड रिकवरी फ़ंक्शन - बड़े पैमाने पर ऑनलाइन सेवाओं के उपयोगकर्ता की सुरक्षा प्रणाली में एक कमजोर स्थान;
• उपयोगकर्ताओं के लिए सेवा की सुविधा और उसकी सुरक्षा के बीच संतुलन बनाए रखने की आवश्यकता इंटरनेट संसाधनों के लिए सामने आती है;
• उपयोगकर्ता सुरक्षा नियमों और अपने स्वयं के डेटा के बारे में उदासीन हैं, जिससे अनजाने में हमलावरों को सहायता प्रदान की जाती है।

इस तरह से:

VKontakte	पहुंच गया	डेटा तक पहुंच आसान, वफादार तकनीकी सहायता है
गूगल	पहुंच गया	डेटा तक पहुंच आसान, वफादार तकनीकी सहायता है
Mail.Ru	पहुंच गया	आप डेटा का उपयोग कर सकते हैं, लेकिन उपयोगकर्ता के साथ संवाद करने के बाद ही
फेसबुक	पहुँच प्राप्त नहीं हुई	आप डेटा का उपयोग नहीं कर सकते, फेसबुक महान है!
Yandex	पहुँच प्राप्त नहीं हुई	आप डेटा तक नहीं पहुंच सकते, लेकिन पासवर्ड रिकवरी प्रक्रिया के लिए बहुत सख्त आवश्यकताएं हैं

पासवर्ड रिकवरी क्रियाएँ VKontakte, फेसबुक, Google, Mail.Ru और Yandex के वास्तविक उपयोगकर्ता खातों से संबंधित हैं। हमने अध्ययन के उद्देश्यों के बारे में इन खातों के मालिकों को सूचित किया और उनके खातों के साथ कार्रवाई करने के लिए उनसे सहमति प्राप्त की। परियोजना के पूरा होने के बाद, मालिकों को एक्सेस विवरण वापस कर दिया गया था, इस डेटा का उपयोग करके कोई अतिरिक्त कार्रवाई नहीं की गई थी। हमारे द्वारा काम किए गए सभी इंटरनेट संसाधनों ने पाई गई कमजोरियों के बारे में सूचनाएं भी प्राप्त कीं और पाया कमियों को खत्म करने के उपाय किए।

हमारा शोध वहाँ समाप्त नहीं होता है - पॉजिटिव टेक्नोलॉजीज सामाजिक नेटवर्क और अन्य लोकप्रिय इंटरनेट सेवाओं की सुरक्षा का विश्लेषण करना जारी रखता है। हम व्यावहारिक सुरक्षा पर सकारात्मक हैक डेज़ अंतर्राष्ट्रीय मंच पर नए अध्ययनों के परिणाम पेश करेंगे, जो कि मास्को में 30-31 मई, 2012 को आयोजित किया जाएगा।

हमारे ब्लॉग पर समाचार!