211service.com
Come evitare che un hack in stile Gawker ti metta in pericolo
Ecco due fatti chiave per tutte quelle persone che saranno compromesse dal violazione e successiva pubblicazione di 1,3 milioni di combinazioni di nomi utente, password e account di posta elettronica da Gawker.com:
1) In teoria, questo genere di cose potrebbe accadere sempre, a causa del gran numero di siti Web che ora hanno almeno una delle nostre password.
2) È pateticamente facile assicurarsi che questo tipo di attacco non minacci mai la tua sicurezza online.
Innanzitutto, iniziamo con la descrizione più breve possibile dei fatti. Se hai già digerito il resto della copertura su questo argomento, puoi saltare i prossimi due paragrafi e se hai già capito perché è incredibilmente imprudente usare la stessa password su più siti, puoi saltare i prossimi quattro.
Gli hacker sono entrati nel database degli account dei commentatori (e in ogni altro database, a quanto pare) di Gawker.com. Questo database include non solo nomi utente e password, ma anche indirizzi e-mail. Lo sappiamo perché hanno reso pubblico l'intero database: è disponibile tramite BitTorrent in questo momento.
Perché così tante persone usano la stessa password per assolutamente tutto, un sondaggio suggerisce che potrebbe essere fino al 75% –Gli hacker di tutto il mondo ora hanno accesso alle versioni crittografate delle password utilizzate dai commentatori di Gawker e agli indirizzi e-mail per i quali è molto probabile che tali password funzionino. La crittografia su queste password è debole, ma la buona notizia è che Gawker stava memorizzando solo i primi 8 caratteri di queste password. Se la tua password è quindi lunga 10 o più caratteri, potresti essere al sicuro anche se non l'hai cambiata su tutti gli altri siti su cui la usi.
Molte persone cambieranno le loro password in risposta a questa violazione della sicurezza. Ma per un motivo o per l'altro, molti non lo faranno, il che li rende vulnerabili per il prossimo futuro.
Ancora più importante, questo attacco sottolinea un semplice fatto che dovremmo tutti tenere a mente quando creiamo password online. Quando usi la stessa password per un gruppo di siti diversi, la rendi sicura solo quanto il sito più debole su cui la usi. Vale a dire, il modo più semplice per hackerare l'account di posta di Google di qualcuno è trovare la sua password su un sito con minore sicurezza: questo elemento umano è la vulnerabilità numero uno in Gmail.
Ecco come sconfiggi questo fatto fondamentale della sicurezza di Internet, ovvero che prima o poi la tua password diventerà pubblica, in un modo o nell'altro:
Garantisci la tua sicurezza memorizzando quattro password e utilizzandole a livelli
1. Tutti noi abbiamo una password usa e getta che usiamo su siti che non ci interessano. Bene! Continua a usare questa password su siti che non ti interessano (come Gawker.com). Se è mai stato violato, lo scenario peggiore è che ora gli hacker hanno l'unica password di cui non ti potrebbe interessare di meno. Scenario peggiore: hackerano il tuo account Last.fm (ecc.) e iniziano a pubblicare Mi piace imbarazzanti.
2. Per i siti sui quali non vuoi essere impersonato (Twitter, Facebook, ecc.) usa una seconda password, diversa dalla prima. Assicurati che non sia una parola nel dizionario, fallo finché ti senti a tuo agio e assicurati che contenga caratteri speciali nel mezzo e non solo alla fine.
3. Per il tuo account e-mail principale, usa una password totalmente univoca e assicurati che sia lunga, contenga caratteri speciali, ecc. Il tuo account e-mail potrebbe contenere informazioni su altri account che possiedi, anche password: questo lo rende una sorta di chiave principale che devi custodire con zelo con una password utilizzata su nessun altro sito.
4. Per i tuoi conti davvero, super importanti, qui stiamo parlando di conti bancari, usa una quarta password che non usi su nessun altro tipo di sito. Non vorrai mai che un hacker decifra l'app Web casuale che hai usato o che un ficcanaso utilizzi FireSheep , per spiare il tuo login Facebook, per accedere ai tuoi conti bancari. (Certo, la maggior parte di questi account ha anche numeri PIN per prevenire un simile attacco.)
Comunque, è così. Quattro password: una è spazzatura e potresti anche scarabocchirla in chiaro sulla fronte. Ci si abitua a siti come Facebook che probabilmente hanno una sicurezza abbastanza decente. E due password molto speciali bloccano solo i tuoi conti bancari e la tua email. Contrasta questo approccio con il consigli di Lifehacker linkato dal post di Gawker.com che annunciava che il sito era stato violato e che tutti gli utenti avrebbero dovuto aggiornare le proprie password (come in, tutti):
Non è necessario ricordare 100 password se si dispone di 1 set di regole per generarle. Un modo per generare password univoche consiste nello scegliere una password di base e quindi applicare una regola che combini una qualche forma del nome del servizio con essa.
Io, per esempio, preferisco non dover fare ginnastica mentale quando cerco di capire quale password ho usato per un sito. Invece, sto tranquillo sapendo che la mia password spazzatura è vulnerabile e il resto relativamente sicuro.
