Hack-ul OneLogin a fost serios și ne-a învățat o lecție

Suntem fanii mari ai managerilor de parole Cum managerii de parole păstrează parolele în siguranță Cum managerii de parole păstrează parolele dvs. Securitatea parolelor care sunt greu de crack este de asemenea greu de reținut. Vrei să fii în siguranță? Aveți nevoie de un manager de parole. Iată cum funcționează și cum vă păstrează în siguranță. Citiți mai multe aici la MakeUseOf. Acestea vă fac viața mai ușoară, accelerați multe procese și îmbunătățiți securitatea. Dar ele vă concentrează, de asemenea, informațiile dvs. de parolă sensibile într-un singur loc - și acest lucru poate fi periculos.

Cazul în cauză: OneLogin, producătorul unei aplicații de administrare a accesului unic la nivel de întreprindere și de gestionare a parolelor, a fost hackat la data de 31 mai 2017. Și este o veste foarte proastă. Iată ce sa întâmplat, ce ar trebui să faceți și câteva lecții pe care le putem învăța.

Ce sa întâmplat la OneLogin?

Iată ce spune OneLogin:

“... un actor de amenințare a folosit una dintre tastele noastre AWS pentru a avea acces la platforma noastră AWS prin API de la o gazdă intermediară cu un alt furnizor de servicii mai mic din SUA ... ”

Ce inseamna asta? Înseamnă că cineva se uita prin datele sensibile ale OneLogin. În timp ce o mare parte din aceste date sunt criptate, OneLogin crede că atacatorii au reușit să decripteze cel puțin unele date.

Imediat ce tehnicienii OneLogin au detectat intruziunea, au oprit sistemele care au fost infiltrate. Din păcate, s-a raportat că nu au detectat pătrunderea până la șapte ore după ce a început. Este o lungă perioadă de timp pentru a încerca prin date sensibile.

Ce fel de date s-ar putea accesa atacatorii?

“Actorul pentru amenințări a putut accesa tabelele de bază de date care conțin informații despre utilizatori, aplicații și diverse tipuri de chei.”

Deși nu este clar care este scopul acestei liste, este cu siguranță o mulțime de lucruri sensibile.

În favoarea lor, OneLogin a fost foarte deschis în legătură cu acest incident. Au păstrat o postare de blog actualizată pe site-ul lor, au comunicat clienților despre atac și au oferit sfaturi cu privire la ce să facă. Nu există nici o indicație până acum că societatea a obfuscat ceea ce sa întâmplat. (Deși s-ar putea să fi diminuat într-o oarecare măsură gravitatea atacului).

Ce trebuie să faceți dacă utilizați OneLogin

OneLogin a lansat rapid un ghid pentru a ajuta utilizatorii să atenueze efectele atacului (Registrul a postat de asemenea această listă pentru non-clienți). Lista include resetările parolei, jetoanele de autentificare noi, eliminarea notelor sigure și o serie de alte sugestii tehnice, la nivel de administrator.

Dacă totuși sunteți un utilizator al OneLogin, cursul evident de acțiune este mult mai simplu: schimbați parolele și actualizați token-urile de autentificare. Va dura ceva timp, dar merită să faceți acest lucru, deoarece există o șansă foarte bună ca cineva să aibă acces la tot ce ați stocat în contul dvs. Schimbați parola principală, schimbați parolele în aplicațiile dvs., modificați tot ce ați stocat în OneLogin.

Și distrugeți-vă notele sigure.

Da, o să suge. Dar va suge mult mai puțin decât să ai unul dintre serviciile tale importante preluate de un atacator (sau, mai rău, a avut loc pentru răscumpărare).

Ce putem învăța de la OneLogin Hack

Prima lecție și cea mai îngrijorătoare este clară: companiile de conectare unică (SSO) și companiile de gestionare a parolelor nu sunt imune la amenințările la adresa securității. Aceste companii știu că securitatea este o afacere importantă pentru clienții lor și că ei dețin o cantitate imensă de informații valoroase.

Dar se întâmplă lucruri rele. În acest caz, au apărut cheile API care au dat atacatorilor accesul la OneLogin “de la o gazdă intermediară la alta, un furnizor de servicii mai mic în S.U.A..” În ciuda dedicării OneLogin pentru securitate, neajunsurile altei companii ar fi putut lăsa atacatorii în.

Din păcate, nici o companie nu este hack-proof. Administrarea parolelor și companiile SSO iau foarte în serios securitatea și, în general, fac o treabă bună. Dar asta trebuia să se întâmple.

Mergând înainte, ce puteți face? Iată câteva lucruri pe care trebuie să le țineți cont atunci când utilizați aceste tipuri de servicii.

Stocarea de totul într-un singur loc este o idee proastă

Evident, veți păstra parolele în aplicația de gestionare a parolei. Dar ar trebui să fie depozitul pentru toate din informațiile dvs. sensibile? Poate nu.

Este ușor să utilizați notele securizate ale lui LastPass, de exemplu, pentru a păstra informațiile despre contul bancar sau parola Wi-Fi de la domiciliu. Dar dacă serviciul ăsta este spart, acum cauți chiar și mai multe probleme. S-ar putea să aveți deja stocate informațiile despre cartea dvs. de credit. Cu toate acestea, dacă adăugați câteva informații mai importante, 10 piese de informații care sunt utilizate pentru a vă fura identitatea 10 piese de informații care sunt folosite pentru a vă fura identitatea, conform Biroului de Justiție al SUA, victimele costurilor de furt de identitate depășesc 24 de miliarde de dolari în 2012 , mai mult decât furtul de uz casnic, motorul și furtul de bunuri combinate. Aceste 10 informații sunt ceea ce hoții se uită ... Citește mai mult, furtul de identitate devine mult mai ușor.

Luați în considerare utilizarea unui alt serviciu criptat care nu stochează informații în cloud, cum ar fi SplashID sau doar criptarea și protejarea prin parolă a unui folder de pe computer Cum să protejeze parola un dosar în Windows Cum să protejați prin parolă un dosar în Windows Trebuie să păstrați un Windows dosarul privat? Iată câteva metode pe care le puteți utiliza pentru protejarea prin parolă a fișierelor pe un PC Windows 10. Citeste mai mult . Este puțin mai convenabil, dar ar putea reduce în mod semnificativ dificultatea în cazul unei încălcări.

Gândiți-vă de două ori la conectarea unică

SSO este excelent pentru că economisește o tona de timp și ține parolele la un nivel minim. OpenID, conectându-vă cu acreditările rețelei sociale Utilizând Login Social? Efectuați acești pași pentru a vă asigura conturile utilizând Login social? Luați acești pași pentru a vă asigura conturile Dacă utilizați un serviciu de conectare socială (cum ar fi Google sau Facebook), atunci ați putea crede că totul este sigur. Nu este așa - este timpul să aruncăm o privire la slăbiciunile logodinelor sociale. Citiți mai multe și alte metode similare sunt destul de populare. (Pentru a fi complet sincer, le folosesc pe mine însumi.)

Opțiunea mai sigură este să deschideți un cont cu adresa dvs. de e-mail pentru fiecare site. Dacă utilizați un manager de parole, acest lucru este ușor. Nu este la fel de ușor ca OAuth sau o simplă conectare cu un singur clic, dar este cu siguranță mai sigură Cum Milioane de aplicații sunt vulnerabile la o singură securitate Hack Cum milioane de aplicații sunt vulnerabile la un singur hacker de securitate OAuth este un standard deschis folosit pentru a vă permite să vă conectați la o aplicație sau un site web terță parte utilizând un cont Facebook, Twitter sau Google și este vulnerabil la hackeri. Citeste mai mult .

Pentru a fi corect, unii oameni încurajează folosirea semnării unice ca practică de securitate. Cântărește-ți opțiunile.

Utilizați autentificarea în doi factori pentru servicii importante

Am vorbit despre autentificarea cu două factori de nenumărate ori, dar dacă nu sunteți familiarizați cu acesta, citiți-vă totul despre el. Ce este autentificarea cu doi factori și ce ar trebui să îl utilizați? Ce este autentificarea cu doi factori și ce ar trebui Utilizați autentificarea cu doi factori (2FA) este o metodă de securitate care necesită două modalități diferite de a vă demonstra identitatea. Este frecvent utilizat în viața de zi cu zi. De exemplu, plata cu un card de credit nu necesită doar cardul, ... Citiți mai multe și aflați ce servicii pot utiliza Blocarea acestor servicii acum cu autentificare cu doi factori Blocați aceste servicii acum cu autentificare în doi factori Autentificarea în doi factori este inteligent mod de a vă proteja conturile online. Să aruncăm o privire la câteva dintre serviciile pe care le puteți bloca cu o mai bună securitate. Citeste mai mult . Apoi porniți-l.

Pe ce servicii trebuie să utilizați autentificarea cu doi factori? Pe scurt, cât de multe poți. Serviciile dvs. cele mai importante, cum ar fi e-mail, servicii bancare și depozitare în cloud, ar trebui să fie cu siguranță protejate de aceasta. Orice altceva este un bonus. Fa-o acum.

Rămâi atent

Utilizatorii OneLogin au învățat o lecție grea: niciun serviciu nu este 100% sigur. Acesta a fost un mod deosebit de dur pentru a învăța această lecție, dar pe termen lung, poate fi pentru cele mai bune. Dacă sunteți un utilizator OneLogin, ar trebui să vă ocupați de ridicarea pieselor. Dacă nu sunteți, considerați-vă că sunteți norocoși și luați măsuri pentru a vă asigura că nu vi se întâmplă.

Ați fost afectat de hack-ul OneLogin? Vă face să vă gândiți de două ori despre administratorii de parole sau despre aplicațiile single sign-on? Împărtășiți-vă gândurile în comentariile de mai jos!

Explorați mai multe despre: Password Manager.