Uhajanje podatkov? Preverjanje in sanacija

Modul 2: Gesla in prijava · Čas branja: 10 minut

Cilj lekcije: Po tej lekciji boste znali sami preveriti, ali so se Vaši podatki znašli v uhajanju podatkov, v pravilnem vrstnem redu odreagirati na uhajanje ter prevzeti nazaj in počistiti ogroženi račun.

Ključni pojmi: Have I Been Pwned, k-anonimnost, obvestila o uhajanju podatkov, preklic sej, sejni piškotek, podatki za obnovitev, pravila za posredovanje

Kako izveste, da je prišlo do uhajanja podatkov

Pogosto tega sploh ne izveste. Uhajano geslo lahko mesece čaka na seznamu kombinacij, preden ga kdo poskusi uporabiti. Zato bodite pozorni na naslednje znake:

• Storitev Vam sporoči, da je prišlo do kršitve varstva podatkov. Najprej preverite, ali je to sporočilo pristno (modul 3): na spletno stran pojdite sami, namesto da kliknete na povezavo.
• Prejmete prijavno kodo ali obvestilo za potrditev, ki ga sami niste zahtevali (lekcija 2.3).
• Vidite obvestilo "nova prijava z neznane naprave".
• Stranke ali sodelavci prejemajo čudna sporočila "od Vas", ali pa Vam manjka sporočilo, ki je bilo dejansko poslano.
• Vaš upravitelj gesel opozori, da je neko geslo del znanega uhajanja podatkov.
• Nenadoma se ne morete več prijaviti ali pa so se Vaši podatki za obnovitev spremenili.

Sami preverite s storitvijo Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) je znana, brezplačna storitev, ki zbira podatke iz javno znanih uhajanj podatkov. Sami lahko iščete po svojem e-poštnem naslovu. Vidite, v katerih uhajanjih se naslov pojavlja in katere vrste podatkov so bile pri tem razkrite: samo e-poštni naslovi, ali tudi gesla, imena, telefonske številke ali naslovi. S funkcijo "Notify me" prejmete sporočilo, ko se Vaš naslov pojavi v novem uhajanju podatkov.

To storite sami, na spletni strani storitve. V tem tečaju Vas nikoli ne bomo prosili, da nekje vnesete svoj e-poštni naslov ali geslo.

Obstaja tudi del Pwned Passwords, s katerim upravitelji gesel in spletne strani preverjajo, ali je bilo geslo kdaj uhajano. To deluje na osnovi k-anonimnosti: Vaše geslo se na Vaši lastni napravi pretvori v hash (nekakšen prstni odtis), storitvi pa se pošlje samo prvih 5 znakov tega hasha. Storitev vrne vse znane hashe, ki se začnejo s teh 5 znakov, Vaša naprava pa sama preveri, ali je med njimi tudi Vaš celotni hash. Storitev torej nikoli ne vidi Vašega gesla in niti ne ve, kateri od na stotine vrnjenih hashev je Vaš.

Dve opombi:

• Če naslova ni na seznamu, to ne pomeni, da je varen. Uhajanje, ki (še) ni znano, se tam ne pojavi. Infostealerji (lekcija 1.4) kradejo tudi gesla, ki nikoli ne končajo v objavljenem uhajanju podatkov.
• Če je naslov na seznamu, to ne pomeni, da je vse izgubljeno. Preverite, kateri podatki so uhajali in kdaj. Geslo, ki ga že leta ne uporabljate več, ni problem; geslo, ki ga še vedno uporabljate povsod, pa je.

Kaj najprej storite po uhajanju podatkov

Vrstni red je pomemben. Najpomembnejše pravilo: najprej Vaš e-poštni predal, saj lahko napadalec prek Vašega e-poštnega predala s pomočjo funkcije "pozabljeno geslo" prevzame skoraj vse Vaše druge račune.

Zakaj preklicati seje

Ko se prijavite, Vaš brskalnik dobi sejni piškotek: nekakšno začasno dovoljenje za dostop, da Vam ni treba ob vsakem kliku znova vnašati gesla. Kdor ima ta piškotek, je prijavljen. Brez gesla in brez drugega koraka.

Prav to kradejo infostealerji: ne samo Vaša gesla, ampak tudi Vaše piškotke. In napadalec, ki se je prijavil z Vašim geslom, prav tako dobi sejo. Če spremenite samo geslo, ta seja pri nekaterih storitvah še vedno deluje.

Zato po uhajanju podatkov ali sumljivi prijavi pri vsaki pomembni storitvi preverite pregled aktivnih sej ali naprav in odjavite vse, česar ne prepoznate, ali vse razen naprave, na kateri trenutno delate. Pri mnogih storitvah Vas novo geslo samodejno odjavi povsod; vseeno to preverite.

Pravilo za posredovanje kot stranska vrata

Primer, kakor se pogosto zgodi. Knjigovodkinja podjetja Bakkerij Example klikne na lažno sporočilo (phishing) in vnese svoje geslo za e-pošto. Napadalec se prijavi na factuur@example.com in naredi tri stvari:

1. Ustvari pravilo: vsako sporočilo z besedo "faktura", "plačilo" ali "IBAN" v zadevi se posreduje na zunanji naslov leverancier-administratie.example in nato premakne v koš.
2. Nastavi svojo lastno telefonsko številko kot številko za obnovitev.
3. Se odjavi.

Knjigovodkinja opazi, da nekaj ni v redu, in spremeni geslo. Misli, da je problem rešen. Toda pravilo še vedno deluje. Napadalec tedne naprej spremlja vsako fakturo, in nekega dne stranka prejme "popravljeno" fakturo z drugim IBAN-om (lekcija 1.2). Prek številke za obnovitev lahko kasneje tudi ponovno prevzame račun.

Zato pri e-poštnem predalu vedno preverite:

• pravila in filtre: predvsem tista, ki posredujejo ali brišejo sporočila;
• posredovanje v nastavitvah e-poštnega predala in v Vaši nadzorni plošči za gostovanje;
• samodejne odgovore, ki jih niste sami ustvarili;
• gesla za aplikacije in povezane aplikacije: odstranite vse, česar ne prepoznate;
• podatke za obnovitev in seznam naprav pri dvostopenjskem preverjanju.

Če je bil račun resnično prevzet

Če ne morete več dostopati do računa, uporabite samo uradni postopek obnovitve storitve. Do njega pridete tako, da sami obiščete spletno stran, ne prek povezave iz sporočila ali oglasa v iskalniku. Pazite na "pomoč pri obnovitvi", ki jo sami poiščete na družbenih omrežjih ali ki Vas sama kontaktira: pogosto gre za prevarante, ki Vas želijo prizadeti še drugič.

Nato:

• izvedite korake od 3 do 8 iz zgornje tabele;
• ustvarite nove varnostne kode in vklopite močnejši drugi korak (lekciji 2.3 in 2.4);
• prijavite prevaro ali lažno predstavljanje SI-CERT (https://www.cert.si/) in, če je nastala škoda, vložite ovadbo pri policiji;
• zapišite, kaj se je zgodilo in kdaj. Če je šlo za podatke strank, je to lahko kršitev varstva podatkov (lekcija 8.2).

V praksi: tako je videti

V okolju WebOké v Moj WebOké pri Podatkih za prijavo najdete zavihek Aktivne seje, kjer so za vsako sejo navedeni brskalnik, sistem, IP-naslov in čas od kdaj seja traja. Eno sejo lahko odjavite ali pa se odjavite povsod, razen na napravi, s katero trenutno delate. V Nextcloud se pri Varnost nahaja pregled Naprave in seje, kjer lahko napravo tudi prekličete ali jo izbrišete na daljavo. Posredovanje in filtre e-poštnega predala najdete v nadzorni plošči za gostovanje in v spletni pošti. Pri drugih ponudnikih deluje podobno: iščite "seje", "naprave", "varnost" ali "nedavna dejavnost".

Povzetek

• Sami preverite na haveibeenpwned.com, ali je Vaš e-poštni naslov del znanega uhajanja podatkov; Pwned Passwords deluje na osnovi k-anonimnosti (pošlje se le prvih 5 znakov hasha).
• Če naslova ni na seznamu, to ni isto kot varen.
• Po uhajanju podatkov: najprej Vaš e-poštni predal, nato preklic sej ter preverjanje dvostopenjskega preverjanja in podatkov za obnovitev.
• Sprememba gesla ne odstrani pravil za posredovanje, gesel za aplikacije ali ukradenih sej.
• Prevzeti račun obnovite samo prek uradne poti storitve.

Kviz

Naloga

Naloga D2.5: Vaš lasten pregled uhajanja podatkov in čiščenje. Sami preverite na haveibeenpwned.com svoje poslovne e-poštne naslove in vklopite "Notify me". Pri svojem e-poštnem predalu in najpomembnejših računih preglejte aktivne seje, pravila za posredovanje, gesla za aplikacije in podatke za obnovitev, ter počistite, česar ne prepoznate. Odkljukajte kontrolni seznam in odgovorite na vprašanja za razmislek. V tečaj ne vnašate e-poštnega naslova ali gesla.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik WebOké 3.6: Prikaz in odjava aktivnih sej
• Priročnik za Nextcloud 3.6: Naprave in seje ogled, preklic ali daljinski izbris
• Priročnik DirectAdmin 3.7: Varna gesla in kaj storiti ob uhajanju gesla
• Prijava v Nextcloud ni mogoča: geslo, koda ali omejitev poskusov
• Prevzet poštni predal ali neželena pošta z Vašega naslova: tako to uredite
• Have I Been Pwned (sami poiščite svoj e-poštni naslov): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (v angleščini, razlaga k-anonimnosti): https://haveibeenpwned.com/Passwords
• SI-CERT (prijava prevare in lažnega predstavljanja): https://www.cert.si/