Zijn de inloggegevens van uw personeel op de donkere web? Wij laten u zien hoe om te controleren of hun gegevens is gevangen in een data-inbreuk.
Onze Oude Vriend, de Wachtwoord
De nederige wachtwoord is nog steeds de meest gebruikte methode van verificatie van jezelf om toegang te krijgen tot een computer of een online account. Andere systemen bestaan en zal blijven verschijnen en zich ontwikkelen, maar nu het wachtwoord is alomtegenwoordig.
Het wachtwoord is een kind van de jaren zestig. Tijdens de ontwikkeling van de Compatibele Time-Sharing Systeem (CTSS), computer realiseerden wetenschappers zich de bestanden van elke gebruiker nodig worden geïsoleerd en beschermd. Een gebruiker moet in staat zijn om te zien en het aanpassen van hun eigen bestanden, maar ze moeten niet worden toegestaan om bestanden te bekijken van iemand anders.
De oplossing betekende gebruikers moesten worden geïdentificeerd. Ze hadden een gebruikersnaam. En om te bewijzen dat de gebruiker is wie ze zeggen dat ze het wachtwoord is uitgevonden. Het krediet voor de uitvinding van het wachtwoord gaat naar Fernando J. Corbató.
Het probleem met wachtwoorden is iedereen die uw wachtwoord kent, kan toegang krijgen tot uw account. Het is als het geven van hen een reserve sleutel van uw huis. Twee-factor authenticatie (2FA) verbetert deze situatie. Het combineert met iets dat u weet uw wachtwoord in met iets wat je eigen—meestal uw smartphone. Wanneer u uw wachtwoord invoert in een systeem met 2FA, wordt een code verstuurd naar uw smartphone. U moet voer die code in de computer, ook. Maar 2FA neemt niet de plaats van het wachtwoord, het verhoogt de veiligheid model van het standaard wachtwoord.
Biometrie wordt geïntroduceerd in een aantal systemen, ook. Dit combineert een unieke biologische identifier, iets wat je, in de mix, zoals een vingerafdruk of gezichtsherkenning. Dit duwt dan twee-factor authenticatie en in multifactor authenticatie. Deze nieuwe technologieën zullen niet doordringen tot de meerderheid van computer systemen en online diensten voor vele decennia, en waarschijnlijk nooit zal komen in sommige systemen. Het wachtwoord zal worden met ons voor een lange tijd.
Data-Inbreuken
Data-inbreuken gebeuren onophoudelijk. De gegevens van deze inbreuken uiteindelijk aankomt op de donkere web waar het wordt verkocht aan andere cybercriminelen. Het kan gebruikt worden in scam e-mails, phishing e-mails, verschillende vormen van fraude en diefstal van identiteit en toegang tot andere systemen. Identificatie vulling aanvallen maken gebruik van geautomatiseerde software om te proberen om in te loggen in de systemen. Deze databases van e-mails en wachtwoorden leveren de munitie voor deze aanvallen.
Mensen hebben een slechte gewoonte van het hergebruik van wachtwoorden. In plaats van het hebben van een unieke robuuste wachtwoord per systeem, hebben ze vaak het hergebruik van een enkel wachtwoord en weer op meerdere systemen.
Het duurt slechts een van deze sites worden aangetast voor alle andere websites in gevaar komen. In plaats van een bedreiging van de acteurs weten je wachtwoord om de geschonden site—die u zal veranderen zodra u hoort dat er een inbreuk kunnen ze gebruik maken van die e-mail en wachtwoord in om toegang te krijgen tot uw andere accounts.
10 Miljard Geschonden Accounts
De ik Pwned website verzamelt de gegevens van alle datalekken het kan. U kunt zoeken op alle van die combinatie van gegevens of uw e-mail adres is blootgesteld in een breuk. Als dat zo is, Heb ik Pwned vertelt u welke site of de service van de gegevens vandaan komen. U kunt vervolgens ga naar die site en het wijzigen van uw wachtwoord of uw account te sluiten. En als je hebt gebruikt het wachtwoord dat u gebruikt op die site op andere sites, die u nodig hebt om te gaan en te wijzigen op sites ook.
Momenteel zijn er meer dan 10 miljard records in de ik Pwned database. Wat zijn de kansen van een of meer van uw e-mail adressen zijn er? Misschien een betere vraag is: wat zijn de kansen dat uw e-mailadres niet in?
Op zoek naar een E-Mailadres
Het controleren is eenvoudig. Ga naar de ik Pwned website, en voer uw e-mail adres in het “e-Mail address” veld en klik op de “Pwned?” knop.
Ik ging een oude e-mail adres gevonden en het was al opgenomen in zes data-inbreuken.
- LinkedIn: LinkedIn had een breuk in 2016, wanneer 164 miljoen e-mailadressen en wachtwoorden werden blootgesteld. Al mijn wachtwoorden zijn uniek, dus ik moest veranderen van een wachtwoord.
- De keuring.io: de keuring.io zijn—of waren—een e-mail adres verificatie service. Mensen opgegeven email adressen om uit te vinden of ze waren geldig live e-mailadressen. Ik had nog nooit gebruikt, dus blijkbaar iemand anders in mijn e-mail adres te verifiëren. Natuurlijk, er was geen wachtwoord niet betrokken, dus ik had geen zekerheid stappen te nemen, behalve op de uitkijk voor spam en phishing e-mails.
- Data Verrijking Blootstelling Van PDL: Gegevens over Personen Labs (PDL) geld te verdienen met het verzamelen en verkopen van de gegevens. Ik heb gevraagd een kopie van mijn gegevens van PDL en van de uitstraling van het, ik denk dat ze het door schrapen en cross-referencing LinkedIn, Twitter, zakelijke websites en andere bronnen. Nogmaals, er werden geen wachtwoorden niet betrokken, dus ik had geen zekerheid stappen te nemen. Maar ik heb opt-out van hun ‘service’ zodat ze niet kunnen verkopen mijn gegevens niet meer.
- Onliner Spambot: Een spambot, genaamd Online Spambot had mijn e-mail adres in, waarschijnlijk opgeheven vanaf een van de andere inbreuken. Maar dan is de Onliner Spambot zelf werd geschonden, lekkende 711 miljoen persoonlijke records, waaronder een aantal wachtwoorden.
- Collectie #1 en Anti Openbare Combo Lijst: De laatste twee waren enorme collecties van eerder geschonden gegevens, verpakt in een mega-bundels voor het gemak van de cybercriminelen. Dus mijn persoonlijke gegevens is in deze schendingen, maar ik had al gereageerd en behandeld met de oorspronkelijke overtreding.
De belangrijke punten op te merken zijn:
- Uw gegevens kunnen worden opgenomen in schendingen die voor de sites die u heeft zelfs nog nooit bezocht.
- Zelfs als de inbreuk op data bevatten geen wachtwoorden, uw persoonlijke gegevens kunnen nog steeds worden gebruikt voor criminele doeleinden, zoals spam e-mails, scam e-mails, phishing e-mails, diefstal van identiteit en fraude.
Domein Zoekt
Als verhelderend en nuttig is als deze is het invoeren van de e-mail adressen voor al uw personeel zal tijd kosten. Ik Pwned ‘ s antwoord op dit is het domein van de functie zoeken. U uw domein kan registreren en verkrijgen van een verslag en alle e-mail adressen op dat domein zijn gevonden in overtreding.
En als alle e-mail adressen op uw domein worden weergegeven in toekomstige inbreuken, ontvangt u een melding. Dat is best cool.
U moet aantonen dat u de eigenaar van het domein, natuurlijk. Er zijn verschillende manieren om dit te bereiken. U kunt:
- Controleer of per e-mail naar security@ , hostmaster@ , postmaster@ , of webmaster@ op uw domein.
- Toevoegen van een meta-tag met daarin een uniek ID op de home pagina van uw website.
- Een bestand uploaden naar de root van je website, met een unieke ID.
- Maak een TXT-record op het domein, met een unieke ID.
Dit is een geweldige gratis service en de moeite waard de paar momenten die het duurt om te registreren.
Zoeken naar niet-gerelateerde e-Mails
Maar wat als je een rag-tag collectie van e-mails te controleren, verspreid over verschillende domeinen? Misschien hebt u de e-mail adressen voor gmail.com en andere domeinen die je natuurlijk niet kunt aantonen dat u de eigenaar van.
Hier is een Linux-shell-script dat een tekst bestand op als een command-line parameter. Het tekstbestand bevat e-mail adressen, één per regel. Het script voert een Heb ik Pwned e-mail zoeken naar elk e-mail adres in in het tekst bestand.
Het script maakt gebruik van een geverifieerde API. Je gaat nodig hebben een API-sleutel. Een sleutel te krijgen, moet u zich eerst registreren en betalen voor de dienst. Troy Hunt heeft geschreven een grondige blog post over het onderwerp van heffingen voor het gebruik van de API. Hij legt met volledige openhartigheid waarom was hij gedwongen om als een manier om de bestrijding van API misbruik. De kosten zijn USD 3,50 per maand, dit is minder dan een koffie van een high street stopcontact. U kunt betalen voor een maand, of u kunt zich inschrijven voor een jaar.
Hier is de gehele script.
#!/bin/bash
als [[ $# -ne 1 ]]; then
echo “Gebruik:” $0 “bestand-met-e-mail-adressen”
afslag 1
fi
voor e-mail in $(cat $1)
doen
echo $e-mail
curl -s-A “CloudSavvyIT”
-H “hibp-api-sleutel:uw-API-key-gaat-hier”
https://haveibeenpwned.com/api/v3/breachedaccount/$email?truncateResponse=false
| jq -j ‘.[] | ” “, .De titel, ” [“, .Naam, “] “, .BreachDate, “n”‘
echo “—”
slaap 1.6
gedaan
exit 0
Voordat we uitleggen hoe het script werkt, zou je hebben gemerkt dat het gebruik maakt van krullen en jq. Als u niet met deze geïnstalleerd op uw computer, moet u deze toevoegen.
Op Ubuntu, de commando ‘ s zijn:
sudo apt-get install krullen
sudo apt-get install jq
Op Fedora, moet je het volgende typen:
sudo dnf installeren krullen
sudo dnf installeren jq
Op Manjaro, maakt u gebruik van pacman:
sudo pacman -Syu krullen
sudo pacman -Syu jq
GERELATEERD: Hoe te Gebruiken krullen om Bestanden te Downloaden Van de Linux Commando-Regel
Hoe het Script Werkt
De variabele $# bevat het aantal van de command-line parameters die werden doorgegeven aan het script. Als dit niet gelijk is aan één, het gebruik van het bericht wordt getoond en het script wordt afgesloten. De variabele $0 bevat de naam van het script.
als [[ $# -ne 1 ]]; then
echo “Gebruik:” $0 “bestand-met-e-mail-adressen”
afslag 1
fi
Het script leest de e-mail adressen van de tekst bestand met cat en zet $email te houden van de naam van het e-mailadres momenteel verwerkt.
voor e-mail in $(cat $1)
doen
echo $e-mail
De curl commando wordt gebruikt om toegang te krijgen tot de API en voor het ophalen van het resultaat. De opties die we gebruiken zijn:
- s: Stil.
- A: User-Agent string. Niet alle HTTP-API ‘ s nodig om er een te krijgen, maar het is een goede gewoonte om één. U kunt de naam van uw bedrijf in hier.
- H: Extra HTTP-header. We gebruiken een extra HTTP-header te geven in de API-sleutel. Vervang uw-API-key-gaat-hier met uw werkelijke API-sleutel.
De curl commando stuurt de aanvraag door naar de ik Pwned geschonden account API-URL. Het antwoord is doorgesluisd naar jq.
jq haalt de titel .De titel ) van de inbreuk, de interne id ( .De naam ) zijn voor de overtreding, en de datum van de wanprestatie ( .BreachDate ) van de naamloze array ( .[] ) die de JSON-informatie.
curl -s-A “CloudSavvyIT”
-H “hibp-api-sleutel:uw-API-key-gaat-hier”
https://haveibeenpwned.com/api/v3/breachedaccount/$email?truncateResponse=false
| jq -j ‘.[] | ” “, .De titel, ” [“, .Naam, “] “, .BreachDate, “n”‘
echo “—”
slaap 1.6
gedaan
exit 0
Een paar spaties worden weergegeven voor de inbreuk op de titel om de inspringing van de output. Dit maakt het makkelijker om onderscheid te maken tussen e-mail adressen en schending van namen. Haakjes zijn geplaatst aan weerszijden van de .Naam van het data item te helpen met visuele ontleding. Dit zijn eenvoudige cosmetica en kan worden gewijzigd of verwijderd, al naar gelang uw behoeften.
Drie streepjes worden weergegeven te scheiden van de gegevens voor elk e-mail adres, en een pauze van 1,6 seconden is toegevoegd tussen de controles. Dit is nodig om te voorkomen dat het bombarderen van de API te vaak en krijgen tijdelijk geblokkeerd.
Er zijn 15 data-items die u kon kiezen te hebben weergegeven. De volledige lijst wordt weergegeven op de API ‘ s van de website.
GERELATEERD: Hoe Parseren JSON-Bestanden op de Linux Command Line jq
Het uitvoeren van het Script
Kopieer het hele script in een editor, vervang uw-API-key-gaat-hier met je API key, vervolgens opslaan als “pwnchk.sh.” Om het uitvoerbare bestand, voer je dit commando uit:
chmod +x pwnchk.sh
We hebben een tekst bestand genaamd “email-list.txt.” het bevat de volgende e-mailadressen:
- president@whitehouse.gov
- vice.president@whitehouse.gov
- privateoffice@no10.x.gsi.gov.uk
Dat is de president en de vice-president van de Verenigde Staten, en het kabinet van de minister-president van het Verenigd Koninkrijk. Ze zijn in alle openbaar beschikbare e-mailadressen, zodat we niet het breken van de privacy of veiligheid protocollen gebruiken ze hier. Voor uw gemak, we leidingen van de output minder. Je kan net zo goed leiden de uitvoer naar een bestand.
./pwnchk.sh email-list.txt | minder
De eerste regel vermeldt “2,844 Aparte Data-Inbreuken.”
Dat is de naam van een verzameling van geschonden gegevens van 2,844 kleinere inbreuken. Het betekent niet dat e-mail adres is al in die veel overtredingen.
Ga via de uitgang, en u zult zien dat die e-mail adressen zijn te vinden in meerdere inbreuken dateren al de weg terug naar een Myspace-schending van 2008.
Een Laatste Woord over Wachtwoorden
U kunt ook zoeken naar wachtwoorden op, ik Pwned. Indien er een match is gevonden, betekent niet noodzakelijk dat het wachtwoord in de gegevens schending is van jou. Wat betekent het waarschijnlijk is uw wachtwoord is niet uniek.
De zwakkere uw wachtwoord is, hoe minder waarschijnlijk het zal uniek zijn. Bijvoorbeeld, de favoriete wachtwoord van de luie gebruiker, 123456, had 23,5 miljoen wedstrijden. Dat is de reden waarom zoeken per e-mail is de betere optie.
Altijd gebruiken robuuste unieke wachtwoorden. Het gebruik van een password manager als u te veel wachtwoorden te onthouden. Waar 2FA wordt aangeboden, gebruik het.
Het script hebben we gepresenteerd zal u helpen om een uiteenlopende lijst van e-mailadressen. Het bespaart u een hoop tijd, zeker als het iets is wat je gaat periodiek uit te voeren.