Mida peate tegema, et teie Google'i konto ei saaks varastatud

Googlei korporatsioon avaldas uuring uurimuse "Kuidas on konto põhihügieen tõhus selle varguse vältimiseks," kus käsitletakse, mida konto omanik saab teha, et see ei satuks kurjategijate kätesse. Esitleme teile selle uuringu tõlget.
Kuid tõde on, et kõige tõhusam meetod, mida Google ise kasutab, ei olnud aruandes toodud. Pidin kirjutama sellest meetodist lõpus ise.

Iga päev kaitseme kasutajaid sadade tuhandete konto häkkimise katsete eest. Enamik rünnakutest tuleb automaatsetelt robotitelt, kes pääsevad ligi kolmandate osapoolte paroolide häkkimise süsteemidele, kuid esinevad ka kalastamis- ja sihtrünnakud. Varem rääkisime, kuidas viis lihtsat sammu, nagu telefoninumbri lisamine, võivad aidata teil end kaitsta, kuid nüüd soovime seda tõestada praktikas.

Kalastamisrünnak on katse petta kasutajat selliselt, et ta annaks vabatahtlikult kurjategijale teavet, mis võib olla kasulik häkkimise protsessis. Näiteks kopeerides seadusliku rakenduse liidese.

Automaatsete robotite rünnakud on massilised häkkimise katsed, mis ei ole suunatud konkreetsetele kasutajatele. Need toimuvad tavaliselt vabalt kätte saadava tarkvara abil ja on kergesti kasutatavad isegi ettevalmistamata 'häkkijate' poolt. Kurjategijad ei tea midagi konkreetsete kasutajate eripäradest — nad lihtsalt käivitavad programmi ja 'püüavad' kõik halvasti kaitstud kontod ümber.

Sihtrünnakud on konkreetsete kontode häkkimised, mille puhul kogutakse iga konto ja selle omaniku kohta täiendavat teavet, võimalike ülekande ja liikluse analüüsi katsete ning keerukamate häkkimise tööriistade rakendamisega.

(Tõlkija märkus)

Oleme koostööd teinud New Yorgi Ülikooli ja California Ülikooliga, et välja selgitada, kui tõhusalt põhihügieen kontod kaitseb nende 'varguste' eest.

Aastane uuring suures mahus ja sihtrünnakute kohta esitati kolmapäeval ekspertide, poliitikute ja kasutajate kohtumisel nimega The Web Conference.
Meie uuringud näitavad, et teie Google'i kontole telefoni numbri lihtne lisamine võib blokeerida kuni 100% automaatsete robotite rünnakutest, 99% massilisest kalastamisest ja 66% sihtotstarbelistest rünnakutest, mis toimusid meie uurimise käigus.

Google'i automaatne proaktiivne kaitse konto "kaaperdamise" vastu

Toome ellu automaatse proaktiivse kaitse, et parem kaitsta kõiki meie kasutajaid konto häkkimise eest. Siin on, kuidas see töötab: kui tuvastame kahtlase sisselogimise katse (näiteks uues asukohas või seadmes), küsime täiendavaid tõendeid, et olla kindel, et see olete tõesti teie. Selleks tõendamiseks võib olla vajalik kontroll, et teil on juurdepääs usaldusväärsele telefonile, või vastus küsimusele, mille õige vastus on ainult teil.

Kui olete oma telefoniga sisse logitud või olete kontoseadetes oma telefoninumbri näidanud, saame tagada sama kaitsetaseme nagu kaheastmelise kinnituse abil. Oleme leidnud, et SMS-kood, mis saadetakse taastamisnummerole, aitas blokeerida 100% automaatsetest robotitest, 96% massilisest kalastamisest ja 76% sihtotstarbelistest rünnakutest. Ja seadmes, kus palutakse kinnitada toimingut, mis on ohutum aseaine SMS-ile, aitasid nad vältida 100% automaatseid roboteid, 99% massilisest kalastamisest ja 90% sihtotstarbelistest rünnakutest.

Kaitse, mis põhineb nii teatud seadmete omamisel kui ka teatud teadmiste teadmisel, aitab vastu seista automaatsetele robotitele, samas kui kaitse, mis põhineb teatud seadmete omamisel, aitab vältida kalastamist ja isegi sihtotstarbelisi rünnakuid.

Kui teie kontol pole telefoninumbrit seadistatud, saame kasutada nõrgemaid kaitsemeetodeid, mis põhinevad teie teadmistel, nagu teie viimase sisselogimise koht. See töötab hästi robotite vastu, kuid kalastamise kaitsetase võib langeda 10%-ni ja sihtotstarbeliste rünnakute kaitse praktiliselt puudub. See juhtub seetõttu, et kalastamislehed ja kurjategijad sihtotstarbeliste rünnakute korral võivad sundida teid avaldama igasugust lisainfot, mida Google võib kontrollimiseks küsida.

Arvestades selliste kaitsete eeliseid, võib küsida, miks me ei nõua selle kasutamist iga süsteemi sisenemise puhul. Vastus peitub selles, et see tooks kasutajatele kaasa lisamugavusi (eriti ettevalmistamata — tõlkija märkus). ja suurendaks konto blokeerimise riski. Katses selgus, et 38% kasutajatest ei pääsenud oma telefonile sisselogimise ajal juurde. Veel 34% kasutajatest ei suutnud meenutada oma lisameiliaadressi.

Kui olete kaotanud juurdepääsu oma telefonile või ei saa sisse logida, võite alati naasta usaldusväärsesse seadmesse, millega olete varem sisenenud, et pääseda oma kontole.

Selgitame välja "häkkerite tellimise" rünnakud

Seal, kus enamik automaatseid kaitsevahendeid blokeerib enamiku robotitest ja väljapressimisrünnakutest, muutuvad sihitud rünnakud sageli kahjulikumaks. Osana meie pidevatest pingutustest rünnakute jälgimise alal, tuvastame pidevalt uusi "häkkerite tellimise" kuritegelikke gruppe, kes küsivad ühe konto häkkimise eest keskmiselt 750 dollarit. Need kurjategijad sõltuvad sageli väljapressimisvaatest, mis esitab end pereliikmete, kolleegide, valitsusametnike või isegi Google'i nimel. Kui sihtmärk ei alistu esimese väljapressimiskatse käigus, jätkuvad järgnevate rünnakud üle kuu.

Näide "mees keskkonnas" väljapressimisrünnakust, mille käigus kontrollitakse parooli reaalajas. Pärast seda palutakse ohvritel väljapressimislehe kaudu sisestada SMS-auditi koodid, et pääseda ohvri kontole.

Meie hindangute kohaselt on ainult üks miljonist kasutajast sellise kõrge riski all. Kurjategijad ei sihita juhuslikke inimesi. Kuigi uuringud näitavad, et meie automaatne kaitse aitab edasi lükata ja isegi ennetada kuni 66% sihitud rünnakutest, mida oleme uurinud, soovitame ikkagi, et kõrge riski tasemega kasutajad registreeruksid meie lisakaitse programmi. Kuidas on märgitud meie uurimise käigus, kasutavad kasutajad, kes kasutavad ainult turvavõtmeid (ehk — kahefaktori autentimine, kasutades kasutajatele saadetavaid koode — tõlkija märkus.), said sihtfishingu ohvriks.

Veidi aega kulutades saate kaitsta oma kontot.

Kasutate turvavööde kaudu oma elu ja tervise kaitsmiseks autodes reisides. Ja meie viie näpunäitega saate oma konto turvalisuse tagamise.

Kuidas meie uuringud näitavad, on üks lihtsamaid asju, mida saate teha oma Google'i konto kaitsmiseks, oma telefoninumbri seadmine. Suure riskiga kasutajatele, nagu ajakirjanikud, kodanikuaktivistid, ärijuhid ja poliitiliste kampaaniate meeskonnad, meie Advanced Protection aitab tagada kõrgeima turvalisuse taseme. Saate ka kaitsta oma kolmandate osapoolte teenuseid (mitte Google) paroolirikkumiste eest, installides laiendi Chrome Password Checkup.

Huvitav on see, et Google ei järgi neid nõuandeid, mida ta ise oma kasutajatele annab. Google kasutab riistvaratokenite kahefaktori autentimiseks rohkem kui 85 000 oma töötaja puhul. Ettevõtte esindajate sõnul ei olnud riistvaratokenite kasutuselevõtuga alates sellest hetkest ühtegi konto varguse juhtumit. Võrrelge seda numbritega, mis on esitatud selles aruandes. Seega on selge, et riistvaratokenite juurdepääsutokenite kasutamine kahefaktori autentimisel on ainus usaldusväärne viis kaitsta nii kontosid kui ka teavet (ja mõnel juhul ka raha).

Google'i kontode kaitsmiseks kasutatakse tokenite, mis on loodud FIDO U2F standardi kohaselt, näiteks niisugust. Ja kahefaktori autentimiseks Windows, Linuxi ja MacOS operatsioonisüsteemides kasutatakse krüptograafilisi tokeneid.

(Tõlkija märkus)

Allikas: habr.com