Arvutikaitse

Hotmaili, Gmaili varastatud paroolidest

Aare Kirna, 7, oktoober 2009

Eelmisel nädalal riputati PasteBin-i tarkvaraarendusfoorumisse üles 10 000 Hotmaili parooli koos kasutajanimedega. Sellesisuline BBC uudis levis kiiresti üle maailma ning peatselt selgus, et varastatud on ka Gmaili ja Yahoo! Maili paroole.

Nii Microsoft kui Google eitavad sissemurdmist ja neil on õigus – kaotsiläinud paroolid andsid pättide kätte…

kasutajad ise.

Tundub, et paljud inimesed üle maailma on saanud sellise teate:

Ehk siis neil on palutud kirjas, mis näeb välja täpselt nõnda, nagu ta oleks saadetud Windows Live administraatori poolt, minna etteantud aadressile, mis näeb pealiskaudsel vaatlemisel kuuluvat Windows Live domeeni, oma kasutajakontot seadistama.

Tegelikult suunas see link kasutaja sellisele veebilehele, mis nägi küll välja nagu Windows Live oma, kuid asus hoopis ühes teises serveris. Loomulikult üritas kasutaja sinna oma kasutajanime ja parooliga sisse logida, ja kui see ei õnnestunud, kordas oma katset, kinnitades kurjategijatele oma parooli veelkord üle.

Ilmselt rünnati samal viisil ka Gmaili, Yahoo Maili ja paljude teiste sotsiaalsete võrgustike kasutajate kontosid.Varastatud paroolid kuulusid öeldavasti Euroopas, täpsemini Lõuna-Euroopas asuvatele kasutajatele. Nii Microsoft kui Google kinnitavad, et pärast nimekirja avalikukstulekut sundisid nad neis olevaid kasutajaid oma salasõna vahetama.

Turvaspetsialistid toovad antud juhtumiga seoses välja veel kaks haavatavat kohta. Nimelt on paljudel paroolipõhistel autentimissüsteemidel ka meeldetuletusfunktsioon, mis küsib teilt kasutajatunnust ja vastust lihtsale turvaküsimusele. Vähemalt Windows Live ja Gmaili puhul on meiliaadress ühtlasi ka kasutajatunnuseks, väga paljude meilisüsteemide turvaküsimused aga olid kuni viimase ajani liiga lihtsad.

Sama on turvaspetsialistid üsna üksmeelselt väitnud ka lekkinud 10 000 salasõna kohta. Arvutikaitse on viletsatest salasõnadest ka varem kirjutanud.

Mida teha, kui kahtlustate, et ka teie parool on internetti lekkinud? Loomulikult tuleks parool vahetada, kasutades selleks mitte suvalises kirjas antud, vaid ise brauseriribale tipitud aadressi.

Hea poliitika on salasõnu ka perioodiliselt vahetada, meeldejätmiseks aga mitte loota mälule või kleepsupaberile, vaid paroolihaldustarkvarale. Viimastest soovitan näiteks selliseid:

Password Agent

KeePass

LastPass

Ka Peeter Marvet on kirjutanud meeldejäävaid paroole genereeriva skripti.
NB! Makrosid sisaldavad dokumendid, isegi kui need pärinevad Arvutikaitse lehelt, kontrollime enne koduses arvutis käimatõmbamist viirustõrjega üle – muudame selle endale harjumuseks!

This entry was posted on Kolmapäev, oktoober 7th, 2009 at 9:44 and is filed under Rünnakud, Salasõnad. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.