Κωδικοποιημένοι κωδικοί πρόσβασης ήταν εκτεθειμένοι στην παραβίαση δεδομένων Imperva

Μερικές φορές ένα ατυχές γεγονός μπορεί να μας ωθήσει να μάθουμε κάτι νέο. Μετά από όλα, δεν μαθαίνουμε όλοι από λάθη; Σήμερα μπορούμε να μάθουμε από τα λάθη της Imperva.

Η Imperva είναι μια εταιρεία λογισμικού στον κυβερνοχώρο που εδρεύει στο Redwood Shores της Καλιφόρνια. Αυτή η εταιρεία παρέχει στους πελάτες της προστασία των δεδομένων των επιχειρήσεων. Οι πελάτες αγοράζουν υπηρεσίες τείχους προστασίας μέσω Internet από την Imperva για την πρόληψη επιθέσεων στον κυβερνοχώρο και άλλων κακόβουλων δραστηριοτήτων στον κυβερνοχώρο.

Δυστυχώς, η Imperva ανακοίνωσε ότι αντιμετώπισε παραβίαση δεδομένων τον Αύγουστο και ότι αυτή η παραβίαση δεδομένων έχει επηρεάσει χιλιάδες πελάτες. Σύμφωνα με την αναφορά, τα κλειδιά API, διευθύνσεις ηλεκτρονικού ταχυδρομείου, πιστοποιητικά SSL και πολλοί κωδικοποιημένοι κωδικοί πρόσβασης εκτέθηκαν κατά τη διάρκεια αυτής της παραβίασης.

Υπάρχουν πολλές πτυχές για να συζητήσουμε για αυτήν την παραβίαση δεδομένων, ειδικά όταν εξετάζουμε το γεγονός ότι επηρεάστηκε μια επιχείρηση που διαπράττει με ασφάλεια στον κυβερνοχώρο. Ωστόσο, αυτή τη φορά, θα σας δώσουμε μια σύντομη επισκόπηση του ζητήματος και στη συνέχεια θα επικεντρωθούμε σε κωδικοποιημένους κωδικούς πρόσβασης που επίσης εκτέθηκαν. Έχετε αναρωτηθεί ποτέ τι είναι ένας κωδικοποιημένος κωδικός πρόσβασης;

Τι συνέβη με την Imperva;

Όπως αναφέρθηκε, η Imperva παρουσίασε παραβίαση δεδομένων, η οποία εκθέτει τα δεδομένα των πελατών της σε χάκερ. Φαίνεται ότι ολόκληρο το περιστατικό ήταν το αποτέλεσμα της αμέλειας, επειδή ένα εσωτερικό σύστημα θα μπορούσε να έχει πρόσβαση από το Διαδίκτυο. Το σύστημα που ήταν προσβάσιμο από το Διαδίκτυο αποθηκεύτηκε ένα αντίγραφο του κλειδιού AWS API της Imperva.

Τώρα τι είναι αυτό; Το AWS αναφέρεται στην Amazon Web Services, η οποία είναι μια θυγατρική της Amazon που ειδικεύεται στην παροχή πλατφόρμων υπολογιστικού νέφους. Ένα κλειδί API σημαίνει ένα κλειδί διεπαφής προγραμματισμού εφαρμογών (API). Πρόκειται για ένα μοναδικό αναγνωριστικό που επιτρέπει στο σύστημα να πιστοποιεί ένα χρήστη ή ένα πρόγραμμα που προσπαθεί να προσεγγίσει το API. Με τη σειρά του, το API είναι ένα πρωτόκολλο επικοινωνίας μεταξύ ενός πελάτη και ενός διακομιστή. Μπορεί να είναι ένα σύστημα που βασίζεται σε μια πλατφόρμα σύννεφο, λειτουργικό σύστημα, υλικό και ούτω καθεξής. Έτσι, με το κλειδί API να κλαπεί, οι χάκερ θα μπορούσαν να έχουν πρόσβαση στο σύστημα της Imperva από έξω.

Οι δημοσιογράφοι της Cybersecurity πιστεύουν ότι η Imperva δεν γνώριζε αρχικά την παραβίαση των δεδομένων και ότι έμαθαν λίγους μήνες αργότερα ότι ο χάκερ κατέβαλε ένα αντίγραφο του στιγμιότυπου της βάσης δεδομένων που χρησιμοποιήθηκε για την αξιολόγηση της υπηρεσίας σχεσιακής βάσης δεδομένων (RDS) στην πλατφόρμα του cloud. Τι σημαίνει αυτό? Σημαίνει ότι ο χάκερ θα μπορούσε να κλέψει τα δεδομένα που ήταν μέσα στο στιγμιότυπο και τα δεδομένα που δημιουργήθηκαν μετά την λήψη του στιγμιότυπου δεν επηρεάστηκαν από την παραβίαση.

Συνολικά, η εταιρεία δεν δήλωσε ρητώς πόσοι πελάτες επηρεάστηκαν από την παραβίαση των δεδομένων. Ωστόσο, πάνω από 13.000 κωδικοί πρόσβασης και 13.000 πιστοποιητικά SSL άλλαξαν και περιστράφηκαν μετά την ενημέρωση των ενδιαφερόμενων πελατών. Επομένως, είναι εύκολο να καταλάβετε περισσότερο ή λιγότερο το πεδίο του συμβάντος.

Τι είναι ο κωδικοποιημένος κωδικός πρόσβασης;

Εφόσον ολοκληρώσαμε τη γενική επισκόπηση της παραβίασης, μπορούμε να εξετάσουμε προσεκτικά έναν από τους τύπους δεδομένων που εκτέθηκαν και διαρρεύσαν. Μιλάμε για κωδικοποιημένους κωδικούς πρόσβασης εδώ. Όταν ακούτε τη λέξη "ανακατασκευή", πιθανώς να σκεφτείτε το δημοφιλές online παιχνίδι ή τα ομελέτα, αλλά είναι αλήθεια ότι μπορούμε επίσης να ανακατεύουμε τους κωδικούς μας.

Η κωδικοποίηση του κωδικού πρόσβασης είναι ένας από τους τρόπους για την ασφαλή αποθήκευση και την ενίσχυση των κωδικών πρόσβασης. Για παράδειγμα, ο διαχειριστής κωδικών Cyclonis χρησιμοποιεί επίσης κρυπτογράφηση κωδικού πρόσβασης για να αποθηκεύσει τους κωδικούς πρόσβασης των πελατών του στο θησαυροφυλάκιο. Στην περίπτωση του διαχειριστή κωδικών πρόσβασης, χρησιμοποιεί κρυπτογράφηση για να ανακαλέσει αποθηκευμένους κωδικούς πρόσβασης. Ωστόσο, υπάρχουν άλλοι τρόποι για την προστασία των κωδικών πρόσβασης και οι πληροφορίες σχετικά με την παραβίαση δεδομένων της Imperva υποδηλώνουν ότι οι εκτεθειμένοι κωδικοποιημένοι κωδικοί πρόσβασης έχουν χυθεί και αλατιστεί.

Τι σημαίνει αυτό στη γη; Λοιπόν, πιθανότατα γνωρίζετε ότι μπορείτε να αποκρυπτογραφήσετε κάτι όταν έχει κρυπτογραφηθεί αν έχετε ένα κλειδί αποκρυπτογράφησης. Hashing, από την άλλη πλευρά, σημαίνει ότι τα δεδομένα δεν μπορούν να αποκωδικοποιηθούν όταν είναι κωδικοποιημένα. Επίσης, ανεξάρτητα από το είδος της αλυσίδας δεδομένων που πρόκειται να κατακερματιστεί, το μήκος της παραγωγής είναι πάντα σταθερό. Δηλαδή, αν πρόκειται να αγωνιστείς αγαπώ τα μήλα ή μισώ βροχή, παρακαλώ πηγαίνετε μακριά , το μήκος της τελικής παραγωγής θα είναι το ίδιο (αν χρησιμοποιείτε τον ίδιο αλγόριθμο για να το κατακερματιστεί).

Δεδομένου ότι ο κατακερματισμός δεν λειτουργεί αντίστροφα, αλλά η κρυπτογράφηση της συμβολοσειράς με τον ίδιο αλγόριθμο παράγει την ίδια έξοδο, μπορεί να χρησιμοποιηθεί για τον έλεγχο και την πιστοποίηση της πρόσβασης. Για παράδειγμα, εάν τα καταστήματα βάσεων δεδομένων έχουν κωδικούς πρόσβασης και κάποιος εισάγει έναν κωδικό πρόσβασης απλού κειμένου που προσπαθεί να εισέλθει στη βάση δεδομένων, το σύστημα πρέπει να εφαρμόσει τον ίδιο αλγόριθμο για να καταργήσει τον κωδικό του απλού κειμένου. Εάν η τιμή hash αντιστοιχεί σε εκείνη που είναι αποθηκευμένη στη βάση δεδομένων, ο έλεγχος ταυτότητας παραχωρείται. Είναι επίσης πολύ δύσκολο να σπάσει κάποιον κωδικό πρόσβασης με χτύπημα, και ο μόνος τρόπος για να το κάνετε είναι να το αναγκάσετε να τον βγείτε.

Είναι ακόμα πιο δύσκολο να το σπάσετε αν εφαρμόζεται αλάτι. Στην ασφάλεια του κυβερνοχώρου, το άλας αναφέρεται σε τυχαία τιμή δεδομένων που προστίθεται σε έναν κωδικό πρόσβασης. Οι χρήστες δεν βλέπουν αυτήν την τιμή, αλλά συνδέονται με τους κωδικούς τους μέσα στα συστήματα υπολογιστών για να παρέχουν καλύτερη ασφάλεια. Με άλλα λόγια, οι κωδικοί πρόσβασης δεν τηρούνται σε απλό κείμενο, διότι αυτό θα οδηγούσε τελείως σε τρομερές παραβιάσεις δεδομένων.

Μέσα στο σύστημα, παράγεται τυχαία η τιμή άλατος. Προστίθεται στον κωδικό πρόσβασης απλού κειμένου και στη συνέχεια ολόκληρη η συμβολοσειρά είναι συνήθως χαστούρη (όπως περιγράφεται παραπάνω). Η χρήση διαφορετικών τιμών αλατιού με τους ίδιους κωδικούς πρόσβασης οδηγεί σε τελείως διαφορετικές τιμές χαστούκης, οπότε ψεκάζοντας αλάτι (μιλώντας εικαστικά) στους κωδικούς πρόσβασης τους καθιστά ισχυρότερους.

Από αυτό, μπορούμε να κάνουμε μια υπόθεση, ότι η κλοπή κωδικοποιημένων κωδικών πρόσβασης μπορεί να είναι επικερδής μόνο αν ο χάκερ έχει τα μέσα να τα ωθήσει. Φυσικά, υπάρχει μια τέτοια δυνατότητα πάντα και γι 'αυτό η Imperva κάλεσε τους πελάτες της να αλλάξουν τους κωδικούς τους. Ωστόσο, είναι επίσης δυνατό να πούμε ότι η κλοπή κωδικοποιημένων κωδικών πρόσβασης είναι ουσιαστικά η ίδια με την κλοπή ασφαλούς που δεν έχει κλειδί. Δεν αλλάζει το γεγονός της παραβίασης των δεδομένων, αλλά τουλάχιστον υπάρχει μια λίγη ασημένια επένδυση εκεί.

November 19, 2019
Φόρτωση...

Cyclonis Backup Details & Terms

The Free Basic Cyclonis Backup plan gives you 2 GB of cloud storage space with full functionality! No credit card required. Need more storage space? Purchase a larger Cyclonis Backup plan today! To learn more about our policies and pricing, see Terms of Service, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.

Cyclonis Password Manager Details & Terms

FREE Trial: 30-Day One-Time Offer! No credit card required for Free Trial. Full functionality for the length of the Free Trial. (Full functionality after Free Trial requires subscription purchase.) To learn more about our policies and pricing, see EULA, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.