खाता एन्क्रिप्शन में डबल मानक

मुझे लगता है कि हर कोई जो सूचना सुरक्षा में थोड़ी रुचि रखता है, और बस समय-समय पर आईटी क्षेत्र की घटनाओं के बारे में पढ़ता है, उसे खबर मिली है कि किसी अन्य कंपनी या इंटरनेट सेवा को हैक कर लिया गया है और उपयोगकर्ता खाते उनसे चुरा लिए गए हैं, जिसमें आमतौर पर ईमेल पते, पासवर्ड शामिल होते हैं , क्रेडिट कार्ड नंबर, आपके पालतू जानवर का नाम और बहुत कुछ क्या है (आपको उदाहरण के लिए बहुत दूर नहीं जाना है, इस वर्ष अक्टूबर में, एडोब ने 130-150 मिलियन खातों के लिए " साझा " किया था)। और यह अच्छा है अगर सेवा ने नमक का उपयोग किए बिना भी हैशिंग पासवर्ड का ध्यान रखा, तो इस मामले में यह आशा की जाती है कि यदि हमलावर चोरी किए गए का उपयोग करना चाहते हैं, तो उन्हें ऐसा करने के लिए कुछ प्रयास करना होगा।

लेकिन काफी लंबे समय से मैं किसी और चीज से आश्चर्यचकित था - क्यों ज्यादातर मामलों में केवल पासवर्ड हीशेड होते हैं, अन्य महत्वपूर्ण उपयोगकर्ता डेटा की उपेक्षा क्यों होती है, जैसे कि ईमेल पते या क्रेडिट कार्ड नंबर?

यह लेख एक सुरक्षा खोज नहीं है और इसमें अशुद्धि और अटकलें शामिल हैं। यह बजाय डेटा संरक्षण और उनके रिसाव के मामलों के बारे में जोर से विचार है।

सादगी के लिए, हम मानते हैं कि साइट का मालिक उपयोगकर्ता की राय साझा करता है कि उसका व्यक्तिगत डेटा अभी भी व्यक्तिगत जानकारी है और इसका उपयोग या किसी को उसकी सहमति और ज्ञान के बिना स्थानांतरित नहीं किया जाना चाहिए (दूसरे शब्दों में, ऐसे मामलों में जहां जानबूझकर डेटा स्थानांतरण होता है ” कुछ संगठनों के अनुरोध पर, हम इस पर विचार नहीं कर रहे हैं)। एक नियम के रूप में, खातों का डेटाबेस या तो पूरी तरह से एक खुले रूप में संग्रहीत किया जाता है (जो, सौभाग्य से, धीरे-धीरे अतीत की बात बन रहा है, यद्यपि बहुत धीरे-धीरे), या इसका केवल एक छोटा सा हिस्सा एन्क्रिप्ट किया गया है (सबसे अधिक बार, केवल हैशिंग पासवर्ड द्वारा)। डेटाबेस के नुकसान के मामले में, यदि हैकर्स को डेटा का उपयोग करने में कोई समस्या है, तो ये पासवर्ड हैं, लेकिन बाकी सब कुछ सबसे अधिक संभावना है कि एक चांदी की थाली पर परोसा जाएगा, इसे लें और इसका उपयोग करें।

इससे क्या खतरा है? सबसे पहले, सबसे आम जो किया जा सकता है वह ईमेल पते के डेटाबेस का उपयोग करना है, स्पैमर्स खुश होंगे। दूसरा, बहुत दुर्लभ, क्रेडिट कार्ड नंबर स्किमर्स के हाथों में फिसल सकता है। यह संभव है कि अकेले कार्ड नंबर कम उपयोग के हों, लेकिन यदि आप भूल नहीं गए हैं, तो खातों को अक्सर केवल टुकड़ों में एन्क्रिप्ट किया जाता है, अक्सर कुछ महत्वपूर्ण डेटा, जैसे नाम और जन्मतिथि, खुला छोड़ देते हैं, और कुछ मामलों में यह संख्या बनाने के लिए पर्याप्त होगा। कार्ड बहुत प्रासंगिक थे। और अंत में, तीसरा - सिर्फ व्यक्तिगत डेटा का उपयोग सोशल इंजीनियरिंग में आपके खिलाफ किया जा सकता है (हालांकि सामाजिक नेटवर्क के अस्तित्व के प्रकाश में इस तरह के नुकसान के बारे में चिंता करना थोड़ा अजीब है), और आप कभी नहीं जानते कि हम अपने डेटा का उपयोग खुद के खिलाफ कैसे कर सकते हैं।

जैसा कि आप देख सकते हैं, समस्याएं हैं, और वे प्रासंगिक हैं। सेवा के मालिक की उदासीनता उसके दोनों उपयोगकर्ताओं के लिए गंभीर क्षति का कारण बन सकती है, अगर उसने हैकिंग और डेटा हानि से सेवा की विश्वसनीयता के बारे में चिंता नहीं की, और खुद को वर्तमान और भविष्य के दर्शकों का विश्वास खो दिया। तब आप उन मामलों में पेश करने की कोशिश कर सकते हैं जहां डेटा एक दिन अभी भी चोरी हो जाएगा?

1) सबसे सरल और तार्किक, हैशेड पासवर्ड। पासवर्ड सुरक्षा उपयोगकर्ता के लिए जोखिम को कम कर सकती है यदि वह विभिन्न सेवाओं के लिए एक ही पासवर्ड का उपयोग करता है। अफसोस की बात है, यहां तक ​​कि कई जगहों पर यह प्रतिबंध भी लागू नहीं किया गया है। इसके अलावा, नमक का उपयोग करने में संकोच न करें।

2) हम उस डेटा को भी एन्क्रिप्ट करते हैं जिसका उपयोग सेवा द्वारा अपने इच्छित उद्देश्य के लिए नहीं किया गया है या जिसे सेवा की दक्षता से समझौता किए बिना एन्क्रिप्ट किया जा सकता है। अभी जो पेशकश की जा सकती है, वह ईमेल पतों की हैशिंग और गुप्त पासवर्डों की प्रतिक्रिया या अन्य डेटा है जो केवल प्राधिकरण और इसी तरह के संचालन के लिए उपयोग किया जाता है। आमतौर पर इस डेटा को खुले रूप में संग्रहीत करने की आवश्यकता नहीं होती है यदि यह सिस्टम में प्रवेश करते समय केवल एक बार उपयोग किया जाता है। हालांकि इस दृष्टिकोण में एक नकारात्मक पहलू है, यदि आप चाहते हैं तो सेवा आपको पत्र नहीं भेज पाएगी, लेकिन कुछ मामलों में ऐसी कोई आवश्यकता नहीं है, और ईमेल का उपयोग केवल खाते को मान्य करने के लिए किया जाता है।

3) अंत में, इस सेवा का उपयोग न करने के विकल्प के अपवाद के साथ सबसे अधिक अपसामान्य दृष्टिकोण। सभी (या लगभग सभी, विशिष्ट स्थिति और सेवा पर निर्भर करता है) उपयोगकर्ता डेटा एन्क्रिप्ट किया गया है, और उपयोगकर्ता पासवर्ड का उपयोग उन्हें डिक्रिप्ट करने के लिए किया जाता है, अर्थात, सार्वजनिक और निजी कुंजी का मानक अभ्यास। यह, निश्चित रूप से, सेवा पर एक अतिरिक्त भार बनाता है, साथ ही हमेशा एक संभावित विकल्प (समान सामाजिक नेटवर्क, डेटा एन्क्रिप्शन केवल अन्य उपयोगकर्ताओं को उन्हें देखने की अनुमति नहीं देगा), लेकिन उन मामलों में जहां डेटा महत्वपूर्ण है, यह एक छोटा सुरक्षा शुल्क है।

समय बीतता जा रहा है, और डेटा सुरक्षा और निगरानी की समस्याएं हर दिन और अधिक तीव्र होती जा रही हैं, और यह कल्पना करना कठिन है कि आपके व्यक्तिगत डेटा का नुकसान कल में बदल सकता है, अगर आप आज इसके बारे में चिंता नहीं करते हैं। पहले से ही अब हम यह देख सकते हैं कि किसी व्यक्ति की अपने डेटा के संबंध में लापरवाही उसे कितनी महंगी पड़ सकती है यदि वह महत्वपूर्ण रूप से तुच्छ चीजों को महत्व नहीं देता है। आप इस बारे में क्या सोचते हैं?