Ключ от всех дверей: как хакеры взламывают наши пароли

  • 14/12/2020, 14:01
Специалисты Ростелекома привели примеры самых распространенных ошибок и ненадежных паролей, выявленных в компаниях-заказчиках в ходе внешних и внутренних тестирований на проникновение и по результатам анализа защищенности веб-приложений.

Придумать пароль для своего аккаунта — первое, что надо сделать при выходе на новую работу. Но многие относятся к этой задаче халатно. Выбор часто делается в пользу простейших комбинаций типа «1234Qwerty» — таким «грешат» и небольшие организации, и крупные компании. В итоге корпоративные аккаунты становятся для хакеров легкой добычей и простой точкой доступа к IT-системам всей организации. Как именно это происходит и какие пароли злоумышленникам не по плечу, рассказали эксперты Solar JSOC компании «Ростелеком».

Многие пользователи уверены, что их аккаунт не может заинтересовать злоумышленников, особенно если речь идет о корпоративной «учетке». На самом деле хакера интересует абсолютно любой аккаунт, который поможет ему проникнуть во внутреннюю сеть той или иной компании, закрепиться в ней, развить атаку и впоследствии украсть конфиденциальные данные или получить контроль над IT-инфраструктурой организации.  По данным центра мониторинга и реагирования на кибератаки Solar JSOC компании «Ростелеком», подбор учетных данных применяется в 18% атак и стоит на третьем месте по популярности среди прочих методик хакеров.

Специалисты компании привели примеры самых распространенных ошибок и ненадежных паролей, выявленных в компаниях-заказчиках в ходе внешних и внутренних тестирований на проникновение и по результатам анализа защищенности веб-приложений. Для этого эксперты-безопасники сами выступают в роли хакеров и по согласованию с заказчиком взламывают его IT-системы, чтобы определить их слабые места. Все данные собраны за 2019 и первую половину 2020 года.

Недостатки механизмов аутентификации

Наиболее распространенным недостатком в механизмах аутентификации внешних систем и приложений стало отсутствие защиты от атак подбора учетных данных.  Он был обнаружен в 46% исследуемых систем. У 21% компаний пароли не соответствовали современным требованиям по длине и набору символов. А ведь именно парольные политики не дают пользователям создавать простейшие комбинации.

Ошибки пользователей при создании паролей

К сожалению, не все проблемы по защите систем и данных решаются на стороне разработчиков и администраторов. Важную роль здесь играют сами пользователи. Проводя работы по тестированию на проникновение, эксперты «Ростелеком» часто видят:

  • Использование простых словарных паролей (например «!QAZ2wsx», «February2020»). Повторимся, что пароль может отвечать всем требованиям парольной политики, но все еще быть слабым, поскольку присутствует в публичных словарях.
  • Использование паролей по умолчанию. Учетные данные «admin:admin» пока не ушли в прошлое, хотя и звучат как шутка. При этом, как и в первом случае, такие пароли можно легко найти в специализированных словарях или документации к программному обеспечению.
  • Использование имени пользователя в качестве пароля. Несомненно, пароль, совпадающий с логином, легко запомнить. При этом он может быть длинным, со специальным символом, добавлением цифры в конец либо взамен одной из букв, но для злоумышленника это все равно выглядит так: «нашел имя пользователя — пароль в подарок».
  • Использование одного пароля для нескольких учетных записей. Именно эта ошибка позволяет злоумышленниками проводить атаки Credential Stuffing (когда для взлома аккаунта используются учетные данные, украденные ранее на других сервисах). Так что повторное использование пароля может стать для хакера универсальным ключом от всех «дверей».
  • Создание паролей по шаблону (например «SomeGoodLongPass1», «SomeGoodLongPass2» и т.д.). Использование шаблонов чаще встречается в системах, где требуется периодическая смена пароля. Эта проблема чем-то схожа с использованием одной и той же комбинации на разных ресурсах: если пароль был украден ранее, то злоумышленник сможет просто менять цифру и легко получать доступ к «учетке» пользователя.

Как действуют хакеры?

Несколько случаев, связанных с подбором паролей.

Во время одного из исследований эксперты обнаружили административный интерфейс ApacheMQ. Естественно, от посторонних глаз его защищала форма аутентификации.

— Для начала мы решили проверить пару «admin:admin», и это действительно сработало. Как можно прочитать в документации, «admin:admin» являются учетными данными по умолчанию, которые не сменили после установки.  А это значит, что, подобрав пароль от ApacheMQ, хакер мог бы легко проникнуть во внутреннюю сеть заказчика, — рассказал руководитель отдела анализа защищенности Solar JSOC компании «Ростелеком» Александр Колесов.

Если предположить, что пароль сменили бы на случайную последовательность символов той же длины («Ha?z9»), то подбор занял бы до 5 лет, а примерная скорость подбора составила бы 50 паролей/сек.

В другом проекте выяснилось, что в веб-приложении клиента не было защиты от атак с использованием подбора данных, поэтому достаточно было написать сценарий, который в автоматическом режиме начал перебирать различные комбинации.  В аккаунте использовался словарный пароль, что и привело к его компрометации. Если бы вместо этого пользователь придумал случайную комбинацию символов той же длины, что и словарный пароль, ее подбор занял бы более 17 млн лет.

Надежный пароль — какой он?

Так как же придумать пароль, который сможет защитить системы и обрабатываемые в них данные от несанкционированного доступа? Национальный институт технологий и стандартов (NIST) рекомендует использовать длинные (не менее 8 знаков) парольные фразы вместо коротких буквенно-цифровых комбинаций со специальными символами. Важно проверять, содержится ли устанавливаемый пароль в словарях или среди ранее скомпрометированных паролей. Также защиту усилит двухфакторная аутентификация, когда  пользователю надо ввести не только пароль, но и, например, одноразовый код, высланный на телефон.

Для защиты систем и данных требуются комплексные действия со стороны как разработчиков, так и пользователей. Первым следует выстраивать ИБ-защиту с учетом возможных атак подбора данных, внедрять двухфакторную аутентификацию и помогать пользователям придумывать сложные и надежные комбинации, прописывая необходимые требования в политиках безопасности. А вторым стоит использовать генераторы паролей, не ориентироваться на минимальные парольные требования и помнить, что для злоумышленников нет «неинтересных» аккаунтов — любой может попасть в фокус их внимания.

Фото предоставлено пресс-службой компании

Рубрики : Телекоммуникации

Регионы: Регион не задан

Теги : хакеры технологии телекоммуникации Ростелеком


0
0

СООБЩИТЕ НОВОСТЬ

Уважаемые читатели, вы всегда можете поделиться своей проблемой, рассказать о ЧП, прислать фото и видео в редакцию.
Мы ждем ваши сообщения по телефону: +7 (995) 575-99-86
Или на электронную почту: infopro54@yandex.ru


Erid:F7NfYUJCUneP3WgpqCtDЖК

ЖК "Новые Матрешки"

Пл.Маркса
25 минут
Реклама. Рекламодатель: ООО СЗ "ВИРА Инвест".

Erid:F7NfYUJCUneP3WgpqD32ЖК «Матрешкин двор»

ЖК «Матрешкин двор»

Студенческая
30 минут
Реклама. Рекламодатель: ООО СЗ "ВИРА Инвест".

Erid:F7NfYUJCUneP3WgpqYHfЖК «Grando»

ЖК «Grando»

Березовая роща
5 минут
Реклама. Рекламодатель: ООО СЗ "ВИРА Инвест".

Erid:F7NfYUJCUneP3WgpqYWzЖК «Luna»

ЖК «Luna»

Заельцовская
9 минут
Реклама. Рекламодатель: ООО СЗ "ВИРА Инвест"

Erid:F7NfYUJCUneP3WgpqYSZЖК «GORIZONT»

ЖК «GORIZONT»

Золотая Нива
12 минут
Реклама. Рекламодатель: ООО СЗ "ВИРА Инвест"

Erid:F7NfYUJCUneP3WgpqCjSЖК Сподвижники

ЖК Сподвижники

Пл.Маркса
20 минут
Реклама. Рекламодатель: ООО СЗ "ВИРА Инвест"
Руководитель Фонда «АРТ-дивизион», член Каспийского международного интеграционного клуба «Север-Юг»

Елена Богданова: У новосибирских компаний растет интерес к технологическому импорту из Ирана

У иранских предпринимателей также есть интерес к предложениям компаний из Сибири, но более сегментированный

Подпишитесь на новости
Подпишитесь на рассылку самых актуальных новостей.
 
×
Поиск по автору:
×
Ноябрь 2024
Пн Вт Ср Чт Пт Сб Вс
« Окт    
 123
45678910
11121314151617
18192021222324
252627282930  
×





Отправляя сообщение, я принимаю условия соглашения об использовании персональных данных и соглашаюсь с Правилами сайта
Я согласен (согласна)

×

Эксклюзивный материал

Материалы, отмеченные значком , являются эксклюзивными, то есть подготовлены на основе информации, полученной редакцией InfoPro54.ru. При цитировании, перепечатке ссылка на источник обязательна

×

Участие в конференции бесплатно






Формат участия:

Отправляя сообщение, я принимаю условия соглашения об использовании персональных данных и соглашаюсь с Правилами сайта

×

Участие в конференции бесплатно






Отправляя сообщение, я принимаю условия соглашения об использовании персональных данных и соглашаюсь с Правилами сайта

×
Наверх в Новости Новосибирска