פרסומת
בעקבות הידיעה על הפרה עצומה של שרתי גוגל שהביאה לפריצה של 5 מיליון כתובות דוא"ל לכאורה, אתרים שונים הציעו כי הקוראים צריכים בדוק אם הם היו קורבנות על ידי הזנת כתובות הדוא"ל שלהם ל"כלי בדיקה "- אתרים שיכולים לקבוע אם כתובת דוא"ל נמצאת ברשימה של פריצות אישורים.
הבעיה היא שחלק מכלי הבדיקה הללו לא היו לגיטימיים כמו שהאתרים המקשרים אליהם אולי קיוו ...
5 מיליון כתובות דוא"ל: האמת
דווח באותה עת כהדלפה מאסיבית של 5 מיליון שמות משתמש וסיסמאות של חשבון Gmail, עד מהרה התברר שהסיפור הוא, ובכן, בדיוק זה: סיפור.
הסבר את זה מעט אחר כך, גוגל חשפה שפחות משני% משילובי שם המשתמש / סיסמא היו מדויקיםוכי כלי אבטחת ההתחברות שלהם היו תופסים את רובם של אלה.
הם גם הבהירו כי האישורים לא נפרצו מהשרתים שלהם, אלא מאתרים אחרים:
חשוב לציין כי במקרה זה ובאחרים, שמות המשתמש והסיסמאות שהודלפו לא היו תוצאה של הפרה של מערכות גוגל. לעתים קרובות אישורים אלה מתקבלים באמצעות שילוב של מקורות אחרים.
לדוגמה, אם אתה עושה שימוש חוזר באותו שם משתמש וסיסמא באתרי אינטרנט, ואחד מאותם אתרים נפרץ, ניתן להשתמש בתעודות שלך בכדי להתחבר אל האחרים.
אם כן, חשבון Gmail שנאסף בהפרה קודמת - פרופיל גבוה או אחרת - יכול היה להיות אחד מאותם נתונים בזריקת הנתונים של האישורים בידי "ההאקרים". בעיקרו של דבר, מידע שאולי כבר היה מקוון בצורה זו או אחרת, חשבונות Gmail מכורסים מכמה מקורות.
אבל איך הסיפור הזה עבר כל כך מהר למיינסטרים? כנראה בעזרת מספר גדול ועגול כמו 5 מיליון, ומשיכת החוטים החכמה של האקרים שפרסמו את סיסמאות החשבון בפורום ביטקוין רוסי. זרוק כלי לבדיקה מקוון המאשר אם חשבון הדוא"ל שלך נמצא במזבלה, ויש לך סיפור חדשות גדול.
כמובן, נראה כי isleaked.com זה לא האתר שאנשים חשבו שזהו.
כיצד עובד בודק חשבון דואר אלקטרוני מזויף
בדיקת כתובת דוא"ל מול בסיס נתונים (שעשויים להיות SQL, Access או אפילו קובץ טקסט אז מה זה בסיס נתונים, בכל מקרה? [MakeUseOf מסביר]עבור מתכנת או חובב טכנולוגיה, הרעיון של בסיס נתונים הוא דבר שאפשר לקחת אותו כמובן מאליו. עם זאת, עבור אנשים רבים הרעיון של בסיס נתונים עצמו הוא קצת זר ... קרא עוד ) של חשבונות דוא"ל שנפרצו יחסית פשוט. בשילוב עם סקריפט שהורד בקלות, אתר כזה יכול להיות מוגדר תוך 30 דקות בערך.
בטרוי האנט, בינתיים, יש גישה טובה בהרבה, וזו הסיבה שאתה צריך להשתמש באתר שלו כדי לבדוק אם הוא מדלף את האישורים שלך בכל פעם שאתה קורא או שומע על גרזן חשבון.
כפי שהוסבר בבלוג שלו, האנט בנה האם נפלתי?, אתר לגיטימי (Hunt הוא MVP של מיקרוסופט לאבטחת מפתחים) המיועד למשתמשים ממוצעים להקליד את כתובת הדוא"ל שלהם ולברר אם הם נפרצו או לא. באמצעות נתונים המוגשים לאתרים כמו Pastebin.com, הוא אפילו אומר לך איזו הפרה אחראית לנוכחות חשבון הדוא"ל שלך במסד הנתונים.
מחפש בדיקת דוא"ל לגיטימית פרוצה לגיטימית?
כאשר התוצאות מוצגות, האתר מציג את שם האתר שממנו הודלפו פרטי חשבונך. אני מקווה שהאתר הזה היה שולח לך דוא"ל באופן פרטי או מכריז.
(כמובן, אם אתה חושש שחשבון הדוא"ל שלך נפרץ, בכל מקרה עליך לשנות את הסיסמה שלך. תזכור ל הפוך אותו לבטוח ובלתי נשכח 6 טיפים ליצירת סיסמא בלתי ניתנת לשבירה שאתה זוכראם הסיסמאות שלך אינן ייחודיות ובלתי ניתנות לשבירה, תוכל באותה מידה לפתוח את דלת הכניסה ולהזמין את השודדים לארוחת צהריים. קרא עוד .)
כפי שתוכלו לראות מהתמונה למעלה, חשבון הדואר האלקטרוני שלי היה אחד מהרבים שאוחזרו בהפרת אדובי של אדובי 2013. עליך להשתמש במידע שהאתר מספק כדי לפעול באופן מיידי, אך שימו לב שגם כאשר שונתה הסיסמה שלך, כתובת הדוא"ל שלך תישאר באתר.
אם זה מעשי, ייתכן ששווה לשקול לשנות את כתובת הדוא"ל בה אתה משתמש בחשבונות המקוונים שלך.
בדיקת נאותות לא צריכה להיות דבר של פעם
מרכיב חיוני בעיתונות הוא בדיקת נאותות; בדיקת עובדות. פשוט לא להסדיר מחדש את ההודעות לעיתונות. כל כותב, בין אם יעבור על תוכן עבור $ 1 לכל 1000 מילים או שכיר לשם למעלה בפרסום יכול לעשות זאת.
לרוע המזל באינטרנט, זה לא קורה מספיק.
כמה דקות של בדיקת עובדות היו מראות כי 5 מיליון הכתובות טוענות שהן יצירה. כפי שדיווחנו בזמנו, הכתובות נדרסו מאוסף של הדלפות קודמות סיסמאות ג'ימייל דולפות באופן מקוון, מיקרוסופט שומטת את Windows Windows, ועוד... [Digest News Digest]כמו כן, ביקורות שליליות, דיזר בארה"ב, פירמידות גוגל, ה- NES 3DS ומכונת Rube Goldberg המאירה. קרא עוד . ההאקרים הרוסים הצליחו לאסוף רשימה במקום להפר את האבטחה של גוגל.
חשד מיוחד, בינתיים, היה האתר המומלץ על ידי אתרים רבים לבדוק מיילים, isleaked.com. שנרשם באופן מוזר רק יומיים לפני הדליפה, ברוסיה, קיומה הפתאומי היה אושר בצורה מדהימה במיוחד, או מתוכנן.
כמו שאני אומר תמיד, אין צירופי מקרים בביטחון המקוון.
אחרי הכל, איזו דרך טובה יותר לאשר את רשימת הכתובות שאתה טוען שפרצתם מאשר לגרום לבעלי החשבון לאמת אם הם עדיין משתמשים בהם או לא? זהו אופן הפעולה של שולחי דואר זבל - כתובות מתות הן חסרות ערך, וזו הסיבה שדואלי דואר זבל רבים מבקשים ממך להגיב. תגובתך נרשמת והכתובת נשמרה.
בודק הדואר האלקטרוני isleaked.com יכול בקלות להיות גישה מתוחכמת יותר. בעוד שהם טוענים:
אנחנו לא אוספים את הדוא"ל שלך, כתובות URL / כתובות IP, יומני גישה ולא בודקים תוצאות. או שאנחנו לא עושים שום דבר מזיק עם המכשיר שלך במהלך הבדיקה!
... אין סיבה קטנה לבטוח באתר. טרוי האנט, שיש לו מוניטין לקיים, מסביר כיצד האתר שלו עובד, ולכן הגיוני להשתמש בו.
פסק הדין: אל תגיב ללא העובדות
מה שאנו יכולים ללמוד מכך הוא שאיש לא צריך לנהוג בטענות בדבר הפרות נתונים ופריצות מבלי שיהיה בעל העובדות המלאות. יש פשוט יותר מדי משתנים לקחת בחשבון.
עם טענות ההאקינג של ג'ימייל, נראה כי הנחה בטוחה שההאקרים לכאורה פשוט אימתו את אוסף הכתובות שלהם, ככל הנראה בשימוש במסעות פרסום זבל שונים.
חלקם היו אמיתיים, ואחרים פג מזמן.
האתר הטוב ביותר לבדיקה אם הדוא"ל שלך נפרץ ומצא את דרכו לאתר כמו Pastebin.com הוא haveibeenpwned.com.
למרבה האירוניה, בכל הקשור לחמש מיליון כתובות הג'ימייל שכביכול נפרצו מגוגל, הייתה זו העיתונות הטכנולוגית שנמצאה באמת.
רוב הירונס דרך Shutterstock
כריסטיאן קאוולי הוא סגן עורך לביטחון, לינוקס, עשה זאת בעצמך, תכנות וטכנולוגיות. הוא גם מייצר את הפודקאסט שימושי באמת ובעל ניסיון רב בתמיכה בשולחן עבודה ותוכנה. תורם למגזין Linux Format, כריסטיאן הוא טינקרר Raspberry Pi, חובב לגו וחובב משחקי הרטרו.
