Kiszivárgott? Ellenőrzés és helyreállítás

Modul 2: Jelszavak és bejelentkezés · Olvasási idő: 10 perc

Tanulási cél: E lecke után Ön önállóan ellenőrizheti, hogy adatai szerepelnek-e valamilyen adatszivárgásban, a megfelelő sorrendben tud reagálni egy szivárgásra, és vissza tudja szerezni és ki tudja takarítani egy átvett fiókot.

Kulcsfogalmak: Have I Been Pwned, k-anonimitás, szivárgási értesítések, munkamenetek visszavonása, munkamenet-süti, helyreállítási adatok, továbbítási szabályok

Honnan tudja meg, hogy valami kiszivárgott

Gyakran nem is értesül róla. Egy kiszivárgott jelszó hónapokig szerepelhet egy úgynevezett combo listában, mielőtt valaki kipróbálná. Figyeljen ezekre a jelekre:

• Egy szolgáltatás levélben jelzi, hogy adatvédelmi incidens történt. Először ellenőrizze, hogy a levél valódi-e (3. modul): inkább Ön maga keresse fel a weboldalt, ne a levélben lévő linkre kattintson.
• Olyan belépési kódot vagy jóváhagyási értesítést kap, amelyet nem Ön kért (2.3. lecke).
• Megjelenik egy értesítés: "új bejelentkezés ismeretlen eszközről".
• Ügyfelei vagy kollégái furcsa, "Öntől érkező" leveleket kapnak, vagy hiányzik egy levél, amelyet pedig elküldött.
• A jelszókezelő figyelmezteti, hogy egy jelszava szerepel egy adatszivárgásban.
• Hirtelen nem tud bejelentkezni, vagy megváltoztak a helyreállítási adatai.

Önálló ellenőrzés a Have I Been Pwned szolgáltatással

A Have I Been Pwned (haveibeenpwned.com) egy ismert, ingyenes szolgáltatás, amely nyilvánosan ismert adatszivárgásokból gyűjt adatokat. Önállóan kereshet rá az e-mail címére. Megláthatja, mely szivárgásokban szerepel a címe, és milyen típusú adatok kerültek ki vele együtt: csak e-mail címek, vagy jelszavak, nevek, telefonszámok vagy címek is. A "Notify me" funkcióval értesítést kaphat, ha a címe egy új szivárgásban bukkan fel.

Ezt mindig csak a szolgáltatás saját weboldalán végezze el. Ebben a tanfolyamban soha nem kérjük, hogy e-mail címét vagy jelszavát bárhol megadja.

Van egy Pwned Passwords nevű rész is, amellyel jelszókezelők és weboldalak ellenőrzik, hogy egy jelszó valaha kiszivárgott-e. Ez k-anonimitással működik: a jelszava az Ön saját eszközén alakul át egy hash-sé (egyfajta ujjlenyomattá), és csak ennek az első 5 karaktere kerül elküldésre a szolgáltatásnak. A szolgáltatás visszaküldi az összes ismert hash-t, amely ezzel az 5 karakterrel kezdődik, és az Ön eszköze ellenőrzi, hogy a teljes hash szerepel-e köztük. A szolgáltatás tehát soha nem látja az Ön jelszavát, és azt sem tudja, melyik a visszaküldött több száz hash közül az Öné.

Két megjegyzés:

• Ha nem szerepel a listában, az nem jelenti azt, hogy biztonságban van. Egy (még) nem ismert szivárgás nem kerül bele a listába. Az infostealerek (1.4. lecke) olyan jelszavakat is ellopnak, amelyek soha nem kerülnek nyilvánosságra hozott szivárgásba.
• Ha szerepel a listában, az nem jelenti azt, hogy minden veszve van. Nézze meg, milyen adatok szivárogtak ki, és mikor. Egy jelszó, amelyet évek óta nem használ, nem jelent problémát; egy jelszó, amelyet még mindenhol használ, viszont igen.

Mit tegyen először egy szivárgás után

A sorrend számít. A legfontosabb szabály: először az e-mail fiókja, mert az e-mail fiókján keresztül egy támadó az "elfelejtett jelszó" funkcióval szinte minden más fiókját átveheti.

Miért kell visszavonni a munkameneteket

Amikor bejelentkezik, a böngészője kap egy munkamenet-sütit: egyfajta ideiglenes belépőkártyát, hogy ne kelljen minden kattintásnál újra bejelentkeznie. Aki ezzel a sütivel rendelkezik, az be van jelentkezve. Jelszó és második lépés nélkül is.

Pontosan ezt lopják el az infostealerek: nemcsak a jelszavait, hanem a sütijeit is. És egy támadó, aki az Ön jelszavával jelentkezett be, rendelkezik egy munkamenettel is. Ha csak a jelszavát változtatja meg, bizonyos szolgáltatásoknál ez a munkamenet egyszerűen tovább működik.

Éppen ezért egy szivárgás vagy egy furcsa bejelentkezés után minden fontos szolgáltatásnál nézze meg az aktív munkamenetek vagy eszközök áttekintését, és jelentkeztessen ki mindent, amit nem ismer fel, vagy mindent, kivéve azt az eszközt, amelyen éppen dolgozik. Sok szolgáltatásnál egy új jelszó mindenhonnan kijelentkezteti, de ezt is ellenőrizze.

A továbbítási szabály mint hátsó ajtó

Egy tipikus eset. A Bakkerij Example pékség könyvelője rákattint egy adathalász levélre, és megadja az e-mail jelszavát. A támadó bejelentkezik a factuur@example.com fiókba, és három dolgot tesz:

1. Létrehoz egy szabályt: minden levél, amelynek tárgyában "factuur", "betaling" vagy "IBAN" szerepel, továbbításra kerül egy külső leverancier-administratie.example címre, majd a kukába kerül.
2. Beállítja a saját telefonszámát helyreállítási számként.
3. Kijelentkezik.

A könyvelő észreveszi, hogy valami nincs rendben, és megváltoztatja a jelszavát. Megoldva, gondolja. De a szabály tovább működik. A támadó heteken át olvassa az összes számlát, és egy napon egy ügyfél kap egy "módosított" számlát, amelyen más az IBAN-szám (1.2. lecke). A helyreállítási számon keresztül a fiókot is vissza tudja még szerezni.

Ezért egy e-mail fiók esetén mindig ellenőrizze:

• szabályokat és szűrőket: különösen azokat, amelyek továbbítanak vagy törölnek;
• továbbítást az e-mail fiók beállításaiban és a tárhelykezelő felületén;
• automatikus válaszokat, amelyeket nem Ön hozott létre;
• alkalmazás-jelszavakat és összekapcsolt alkalmazásokat: törölje, amit nem ismer fel;
• helyreállítási adatokat és az eszközök listáját a kétlépcsős azonosításnál.

Ha egy fiókot ténylegesen átvettek

Ha nem tud belépni, kizárólag a szolgáltatás hivatalos helyreállítási eljárását használja. Ezt úgy találja meg, hogy Ön maga keresi fel a weboldalt, nem egy levélben vagy keresési hirdetésben található linken keresztül. Óvakodjon az olyan "helyreállítási segítségtől", amelyet Ön keres meg a közösségi médiában, vagy amely Önt keresi meg: ezek gyakran csalók, akik másodszor is meg akarják károsítani.

Ezután:

• végezze el a fenti táblázat 3. és 8. közötti lépéseit;
• készítsen új helyreállítási kódokat, és kapcsoljon be egy erősebb második lépést (2.3. és 2.4. lecke);
• jelentse a csalást vagy az adathalászatot az NKI-nak (https://nki.gov.hu/), és ha kár keletkezett, tegyen feljelentést a rendőrségen (https://www.police.hu/);
• jegyezze fel, mi történt és mikor. Ha ügyfelek adatairól van szó, akkor szó lehet adatvédelmi incidensről (8.2. lecke).

A gyakorlatban: így néz ki

A WebOké rendszerében a Fiókom felületen a Bejelentkezési adatok résznél találja az Aktív munkamenetek kártyát, amely munkamenetenként mutatja a böngészőt, a rendszert, az IP-címet és azt, hogy mióta aktív. Egyetlen munkamenetet is kijelentkeztethet, vagy mindenhonnan kijelentkeztethet, kivéve azt az eszközt, amelyen éppen dolgozik. A Nextcloudban a Biztonság résznél található az Eszközök és munkamenetek áttekintés, ahol egy eszközt vissza is vonhat, vagy távolról törölheti. Az e-mail fiók továbbítási és szűrőbeállításait a tárhelykezelő felületen és a webmailben találja. Más szolgáltatóknál ez hasonlóan működik: keressen rá a "munkamenetek", "eszközök", "biztonság" vagy "legutóbbi tevékenység" kifejezésekre.

Összefoglalás

• Nézze meg önállóan a haveibeenpwned.com oldalon, hogy e-mail címe szerepel-e valamilyen ismert szivárgásban; a Pwned Passwords k-anonimitással működik (csak a hash első 5 karaktere kerül elküldésre).
• Ha nem szerepel a listában, az nem ugyanaz, mint a biztonság.
• Egy szivárgás után: először az e-mail fiókja, majd a munkamenetek visszavonása, a kétlépcsős azonosítás és a helyreállítási adatok ellenőrzése.
• Egy jelszóváltoztatás nem távolítja el a továbbítási szabályokat, az alkalmazás-jelszavakat vagy az ellopott munkameneteket.
• Egy átvett fiókot kizárólag a szolgáltatás hivatalos útján állíthat helyre.

Kvíz

Feladat

D2.5 feladat: Saját adatszivárgás-ellenőrzés és rendrakási kör. Nézze meg önállóan a haveibeenpwned.com oldalon üzleti e-mail címeit, és kapcsolja be a "Notify me" funkciót. Tekintse át e-mail fiókjánál és legfontosabb fiókjainál az aktív munkameneteket, a továbbítási szabályokat, az alkalmazás-jelszavakat és a helyreállítási adatokat, és takarítsa ki, amit nem ismer fel. Pipálja ki az ellenőrzőlistát, és válaszolja meg a reflexiós kérdéseket. A tanfolyam során sehová nem kell beírnia e-mail címet vagy jelszót.

További olvasnivaló

A WebOké-cikkekben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál ez hasonlóan működik.

• WebOké útmutató 3.6: Aktív munkamenetek megtekintése és kijelentkezés
• Nextcloud kézikönyv 3.6: Eszközök és munkamenetek megtekintése, visszavonása vagy távoli törlése
• DirectAdmin útmutató 3.7: Biztonságos jelszavak és a teendők jelszó kiszivárgása esetén
• Nem sikerül bejelentkezni a Nextcloud szolgáltatásba: jelszó, kód vagy korlátozás
• Feltört postafiók vagy az Ön címéről küldött spam: így oldhatja meg
• Have I Been Pwned (keressen rá önállóan e-mail címére): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (angol nyelvű, a k-anonimitás magyarázata): https://haveibeenpwned.com/Passwords
• A rendőrség és az NKI (csalás és adathalászat bejelentése): https://www.police.hu/