Цикл пo информационной безопасности и анонимности.

У каждого современного человека есть множество аккаунтов, чтобы переписываться по электронной почте, общаться в социальной сети или делать покупки в интернет-магазине.

У любого аккаунта есть логин и пароль. Логин — это имя пользователя в системе, а пароль — ключ, который открывает к ней доступ. Ваш логин могут знать многие, а вот пароль должны знать только вы и никто больше.

Ввод пароля — это не единственный способ пройти проверку на входе. Иногда вместо пароля используют токен — специальное USB-устройство, которое нужно вставить в компьютер, чтобы авторизоваться. Пароль также могут заменять биометрические данные: отпечатки пальца, голос, сетчатка глаза.

Чтобы усилить защиту, сайт или сервис может требовать вместе с паролем что-то ещё. Например, одноразовый код, который приходит по смс или создается в специальном приложении. Такой код сложно своровать, да и смысла в этом нет — ведь действует он всего один раз. Авторизация с двойной защитой — паролем и одноразовым кодом — называется двухфакторной аутентификацией.

Итак, как же злоумышленники получают доступ к аккаунтам?

Есть разные способы. Кто-то применяет самый банальный метод перебора — брутфорс.

В этом мошенникам помогает специальный софт. Они просто перебирают символы или, чтобы было быстрее, проверяют пароли по специальным словарям для взломщиков. В них входят популярные пароли типа 1234, qwerty и обычные слова и фразы из разных языков. К сожалению, многие люди используют для своих аккаунтов такую вот ненадёжную защиту. По своей сути брутфорс — это метод решения математических задач, относящийися к классу методов поиска решения исчерпыванием всевозможных вариантов. Сложность полного перебора зависит от количества всех возможных решений задачи. Если пространство решений очень велико, то полный перебор может не дать результатов в течение нескольких лет или даже столетий.

Другой способ получить пароль — перехватить его. Для этого подходят, например, WI-FI сети в кафе или парках. Публичный WI-FI очень часто устроен так, что в нём ваши данные может увидеть любой, кто подключится к сети. А подключиться может кто угодно — в том числе и злоумышленник.

Мы уже писали про опасность публичных WI-FI.

Ещё мошенники нередко «восстанавливают пароль» вместо пользователей. Например, по секретному вопросу. Найти на него ответ бывает совсем несложно — в той же соцсети. Вспомните об этом, если захотите рассказать друзьям ВКонтакте о своей любимой компьютерной игре, а потом сделать это секретным вопросом в почте.

Эту информацию можно “вытащить” из вас с помощью методов социальной инженерии. Социальная инженерия — метод получения необходимого доступа к информации, основанный на особенностях психологии людей.

Наконец, самые хитрые добиваются того, что пользователи сами, по доброй воле, отдают им свои логины и пароли. Все, что для этого нужно, — выдать себя за какой-нибудь известный сервис или организацию. Допустим, прислать письмо от имени банка и попросить у человека пароль от онлайн-кабинета — якобы для решения технических проблем. Или показать окошко авторизации, нарисованное в стиле популярного сайта — мол, у вас новое сообщение, авторизуйтесь, чтобы прочитать. Такой способ обмана называется фишингом.

Ваш пароль должен быть надежным. Что это значит? Во-первых, пароль должен быть длинным, не меньше 8–10 символов. Во-вторых, сложным, то есть содержать разные типы символов — цифры, большие и маленькие буквы, специальные знаки вроде звездочки, решетки, знаков вопроса или восклицания. И в-третьих, пароль должен быть небанальным. Не надо использовать в нем свое имя, адрес, дату рождения — будьте уверены, злоумышленники знают этот приём. Обычные слова или удобные сочетания клавиш (в ряд, крестом) тоже не подойдут — они давно есть в словарях для программ-взломщиков.

Электронная почта, интернет-магазин, социальная сеть — пароли от всех этих сервисов должны быть разными. Конечно, запомнить сразу много паролей трудно, особенно если все они правда надёжные. На крайний случай пригодится менеджер паролей, который будет помнить их вместо вас. А вам останется запомнить только один пароль — от менеджера. Но помните, что если уж мошенники до него доберутся, то получат в свои руки сразу всё.

Не забывайте про фишинг. Чтобы не попасться на удочку мошенников-фишеров, проверяйте адреса страниц. Обращайте внимание на слово перед последней точкой в адресе — это и есть настоящее название страницы.

Кроме того, проверяйте, защищает ли сайт вашу информацию. Если адрес начинается с https и в адресной строке стоит значок замка, значит, сайту можно доверять — он передаёт все данные в зашифрованном виде. В адресах фишинговых сайтов вы такого не увидите, потому что заниматься шифрованием ваших данных мошенникам вовсе незачем.

Недавно мы рассказывали про опасность зеленых значков на сайте, когда люди думают, что защищены, но это не так.

Допустим, вы ввели логин и пароль от почты на каком-то сайте, а потом поняли, что он фишинговый. Вас ещё не взломали, но данные уже скомпрометированы — они попали к злоумышленникам, которые теперь могут использовать вашу почту как угодно. Что делать в такой ситуации? Самое главное — не волноваться и первым делом сменить пароль. Если вы использовали его на нескольких сервисах — сменить и там тоже.

Потом привяжите к своему аккаунту актуальный номер мобильного, если он ещё не привязан. Это помешает мошенникам поменять ваш пароль, потому что код восстановления придёт не им, а вам на телефон. Удалить ваш номер у них тоже не получится — ведь код подтверждения, опять же, получите вы, а не они.

Другая ситуация: на подозрительных сайтах и в открытых сетях вы пароль не вводили, другим людям его не передавали, а с вашей почты вдруг пачками посыпались странные письма. Или вы заметили, что ваш ящик открывают с незнакомых компьютеров — в почтовых сервисах это можно проверить по айпи-адресам в журнале посещений. Тут, скорее всего, поработала вредоносная программа. А значит, сменой пароля и привязкой телефона уже не обойдёшься — нужно лечить компьютер. Скачайте антивирус и проверьте систему. Если один антивирус у вас уже стоит, попробуйте ещё один — который может провести проверку без установки на устройство.

Даже если антивирус отыскал и обезвредил виновника неприятностей, поменяйте все пароли — возможно, вредоносная программа уже успела передать их своему хозяину. Если же антивирус оказался бессилен и ничего не нашёл, а проблемы остались, придётся переустановить систему.

Цикл создан при поддержке канала //АйТи интерн

Источник