Uniklo? Kontrola a náprava

Modul 2: Heslá a prihlasovanie · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii dokážete sami skontrolovať, či sa vaše údaje nachádzajú v nejakom úniku, reagovať na únik v správnom poradí a získať späť a vyčistiť napadnutý účet.

Kľúčové pojmy: Have I Been Pwned, k-anonymita, oznámenia o únikoch, odhlásenie relácií, session cookie, obnovovacie údaje, pravidlá presmerovania

Ako sa dozviete, že niečo uniklo

Často sa to nedozviete. Unikuté heslo môže mesiace ležať v tzv. combolist skôr, než ho niekto skúsi použiť. Všímajte si preto tieto signály:

• Niektorá služba vám napíše, že došlo k úniku údajov. Najprv overte, či je ten e-mail skutočne pravý (modul 3): na stránku choďte sami, nie cez odkaz v e-maile.
• Dostanete prihlasovací kód alebo žiadosť o schválenie, ktorú ste si sami nevyžiadali (lekcia 2.3).
• Zobrazí sa vám upozornenie „nové prihlásenie z neznámeho zariadenia“.
• Zákazníci alebo kolegovia dostávajú zvláštne e-maily „od vás“, alebo vám chýba e-mail, ktorý bol preukázateľne odoslaný.
• Váš správca hesiel upozorní, že sa niektoré heslo nachádza v úniku.
• Zrazu sa nedokážete prihlásiť, alebo sa zmenili vaše obnovovacie údaje.

Vlastná kontrola cez Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) je známa, bezplatná služba, ktorá zhromažďuje údaje z verejne známych únikov. Môžete si tam sami vyhľadať svoju e-mailovú adresu. Uvidíte, v ktorých únikoch sa adresa nachádza a aké druhy údajov boli pri nej: iba e-mailové adresy, alebo aj heslá, mená, telefónne čísla či adresy. Pomocou funkcie „Notify me“ dostanete e-mail, keď sa vaša adresa objaví v novom úniku.

Urobte to sami, priamo na stránke tejto služby. V tomto kurze vás nikdy nepožiadame, aby ste niekam zadávali svoj e-mail alebo heslo.

Existuje aj časť Pwned Passwords, pomocou ktorej správcovia hesiel a webové stránky overujú, či heslo niekedy uniklo. Funguje to na princípe k-anonymity: vaše heslo sa na vašom vlastnom zariadení prevedie na hash (akýsi odtlačok prsta) a k službe sa odošle iba prvých 5 znakov z neho. Služba vráti všetky známe hashe, ktoré sa týmito 5 znakmi začínajú, a vaše vlastné zariadenie potom samo zistí, či sa medzi nimi nachádza váš úplný hash. Služba teda vaše heslo nikdy neuvidí a dokonca nevie, ktorý z vrátených stoviek hashov je ten váš.

Dve poznámky:

• Nenachádzať sa v zozname neznamená byť v bezpečí. Únik, ktorý (ešte) nie je známy, sa tam nenachádza. Infostealery (lekcia 1.4) kradnú aj heslá, ktoré sa nikdy nedostanú do zverejneného úniku.
• Nachádzať sa v zozname neznamená, že je všetko stratené. Pozrite sa, aké údaje unikli a kedy. Heslo, ktoré už roky nepoužívate, nie je problém; heslo, ktoré ešte stále používate všade, áno.

Čo robiť ako prvé po úniku

Na poradí záleží. Najdôležitejšie pravidlo: najprv vaša e-mailová schránka, pretože cez ňu môže útočník pomocou funkcie „zabudnuté heslo“ získať prístup takmer ku všetkým vašim ostatným účtom.

Prečo odhlasovať relácie

Keď sa prihlásite, váš prehliadač dostane session cookie: akýsi dočasný prístupový preukaz, aby ste sa nemuseli znova prihlasovať pri každom kliknutí. Kto má tento cookie, je prihlásený. Bez hesla a bez druhého kroku overenia.

Presne toto kradnú infostealery: nielen vaše heslá, ale aj vaše cookies. A útočník, ktorý sa prihlásil s vaším heslom, má tiež reláciu. Ak zmeníte iba heslo, táto relácia pri niektorých službách naďalej normálne funguje.

Preto po úniku alebo podozrivom prihlásení skontrolujte pri každej dôležitej službe prehľad aktívnych relácií alebo zariadení a odhláste všetko, čo nepoznáte, alebo všetko okrem zariadenia, na ktorom práve pracujete. Pri mnohých službách vás nové heslo tiež odhlási všade, no aj tak to skontrolujte.

Pravidlo presmerovania ako zadné vrátka

Prípad, ako to často prebieha. Účtovníčka firmy Pekáreň Example klikne na phishingový e-mail a zadá svoje heslo k e-mailu. Útočník sa prihlási do schránky factuur@example.com a urobí tri veci:

1. Vytvorí pravidlo: každý e-mail s „faktúra“, „platba“ alebo „IBAN“ v predmete sa presmeruje na externú adresu leverancier-administratie.example a následne sa presunie do koša.
2. Nastaví svoje vlastné telefónne číslo ako obnovovacie číslo.
3. Znovu sa odhlási.

Účtovníčka si všimne, že niečo nie je v poriadku, a zmení si heslo. Myslí si, že problém je vyriešený. Pravidlo však naďalej funguje. Útočník si celé týždne číta všetky faktúry a jedného dňa dostane zákazník „upravenú“ faktúru s iným IBAN (lekcia 1.2). Cez obnovovacie číslo si navyše môže účet znovu prevziať.

Preto pri e-mailovej schránke vždy skontrolujte:

• pravidlá a filtre: najmä tie, ktoré presmerúvajú alebo mažú;
• presmerovanie v nastaveniach schránky aj v hostingovom paneli;
• automatické odpovede, ktoré ste si sami nevytvorili;
• heslá pre aplikácie a prepojené aplikácie: odstráňte, čo nepoznáte;
• obnovovacie údaje a zoznam zariadení pri dvojfaktorovom overení.

Keď je účet naozaj napadnutý

Ak sa už nedostanete do účtu, použite iba oficiálny postup obnovy danej služby. Nájdete ho tak, že na stránku prejdete sami, nie cez odkaz z e-mailu alebo reklamy vo vyhľadávači. Dajte si pozor na „pomoc s obnovou“, ktorú vám ponúka niekto na sociálnych sieťach alebo ktorá osloví vás: často ide o podvodníkov, ktorí vás chcú zasiahnuť ešte raz.

Potom:

• vykonajte kroky 3 až 8 z tabuľky vyššie;
• vytvorte si nové obnovovacie kódy a zapnite silnejší druhý krok overenia (lekcia 2.3 a 2.4);
• nahláste podvod alebo phishing Polícii SR (https://www.minv.sk/?policia) a SK-CERT (https://www.sk-cert.sk/) a ak vznikla škoda, podajte trestné oznámenie;
• zapíšte si, čo sa stalo a kedy. Ak išlo o údaje zákazníkov, môže ísť o únik osobných údajov (lekcia 8.2).

V praxi: takto to vyzerá

V prostredí WebOké nájdete v Môj WebOké v sekcii Prihlasovacie údaje kartu Aktívne relácie, kde je pri každej relácii uvedený prehliadač, systém, IP adresa a od kedy je aktívna. Môžete odhlásiť jednu reláciu alebo všetky okrem zariadenia, na ktorom práve pracujete. V Nextcloud nájdete v sekcii Bezpečnosť prehľad Zariadenia a relácie, kde môžete zariadenie tiež odvolať alebo na diaľku vymazať jeho dáta. Presmerovanie a filtre e-mailovej schránky nájdete v hostingovom paneli aj vo webmaile. Pri iných poskytovateľoch to funguje podobne: hľadajte „relácie“, „zariadenia“, „bezpečnosť“ alebo „nedávna aktivita“.

Zhrnutie

• Sami si overte na haveibeenpwned.com, či sa vaša e-mailová adresa nachádza v niektorom známom úniku; Pwned Passwords funguje na princípe k-anonymity (odosiela sa iba prvých 5 znakov hashu).
• Nenachádzať sa v zozname nie je to isté ako byť v bezpečí.
• Po úniku: najprv e-mailová schránka, potom odhlásenie relácií, kontrola dvojfaktorového overenia a obnovovacích údajov.
• Zmena hesla neodstráni pravidlá presmerovania, heslá pre aplikácie ani ukradnuté relácie.
• Napadnutý účet obnovte iba cez oficiálny postup danej služby.

Kvíz

Úloha

Úloha D2.5: Vaša vlastná kontrola únikov a upratovacie kolo. Overte si sami na haveibeenpwned.com svoje firemné e-mailové adresy a zapnite „Notify me“. Vo svojej e-mailovej schránke a najdôležitejších účtoch si pozrite aktívne relácie, pravidlá presmerovania, heslá pre aplikácie a obnovovacie údaje, a odstráňte, čo nepoznáte. Zaškrtnite checklist a odpovedzte na reflexívne otázky. V kurze nikam nezadávate e-mailovú adresu ani heslo.

Ďalšie čítanie

Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Príručka WebOké 3.6: Zobrazenie aktívnych relácií a odhlásenie
• Návod na Nextcloud 3.6: Zobrazenie, odvolanie alebo vzdialené vymazanie zariadení a relácií
• Návod na DirectAdmin 3.7: Bezpečné heslá a čo robiť pri úniku hesla
• Prihlásenie do Nextcloud sa nedarí: heslo, kód alebo obmedzenie počtu pokusov
• Prevzatá emailová schránka alebo spam z vašej adresy: takto to vyriešite
• Have I Been Pwned (vlastné vyhľadávanie podľa e-mailovej adresy): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (po anglicky, vysvetlenie k-anonymity): https://haveibeenpwned.com/Passwords
• Nahlásenie podvodu alebo phishingu: Polícia SR a SK-CERT: https://www.sk-cert.sk/