Què és el farciment de credencials? (i com protegir-se)

Silueta d

Gota de tinta/Shutterstock.com



Un total de 500 milions de comptes Zoom són a la venda a la web fosca gràcies al farciment de credencials. És una manera habitual que els delinqüents accedeixen a comptes en línia. Aquí teniu el que significa realment aquest terme i com podeu protegir-vos.

Comença amb bases de dades de contrasenyes filtrades

Els atacs contra els serveis en línia són habituals. Els delinqüents sovint exploten les fallades de seguretat dels sistemes per adquirir bases de dades de noms d'usuari i contrasenyes. Bases de dades de credencials d'inici de sessió robades sovint es venen en línia la web fosca , amb delinqüents pagant Bitcoin per al privilegi d'accedir a la base de dades.





Suposem que teníeu un compte al fòrum Avast, que sí trencat el 2014 . S'ha infringit aquest compte i els delinqüents poden tenir el vostre nom d'usuari i contrasenya al fòrum d'Avast. Avast s'ha posat en contacte amb tu i t'has canviat la contrasenya del fòrum, quin és el problema?

Malauradament, el problema és que moltes persones reutilitzen les mateixes contrasenyes en diferents llocs web. Suposem que les vostres dades d'inici de sessió al fòrum Avast eren tu@example.com i AmazingPassword. Si heu iniciat sessió en altres llocs web amb el mateix nom d'usuari (la vostra adreça de correu electrònic) i contrasenya, qualsevol criminal que adquireixi les vostres contrasenyes filtrades pot accedir a aquests altres comptes.



RELACIONATS: Què és la Dark Web?

Credential Stuffing en acció

L'emplenament de credencials implica utilitzar aquestes bases de dades de dades d'inici de sessió filtrades i intentar iniciar sessió amb elles en altres serveis en línia.

Anunci

Els delinqüents prenen grans bases de dades de combinacions de nom d'usuari i contrasenya filtrades (sovint milions de credencials d'inici de sessió) i intenten iniciar la sessió amb elles a altres llocs web. Algunes persones reutilitzen la mateixa contrasenya en diversos llocs web, de manera que algunes coincidiran. Això generalment es pot automatitzar amb programari, provant ràpidament moltes combinacions d'inici de sessió.



Per a una cosa tan perillosa que soni tan tècnica, això és tot: provar credencials ja filtrades en altres serveis i veure què funciona. En altres paraules, els pirates informàtics introdueixen totes aquestes credencials d'inici de sessió al formulari d'inici de sessió i veuen què passa. Alguns d'ells segur que funcionaran.

Aquest és un dels més maneres habituals en què els atacants pirategen els comptes en línia aquests dies. Només el 2018, la xarxa de distribució de continguts Akamai va registrar prop de 30.000 milions d'atacs d'ompliment de credencials.

RELACIONATS: Com els atacants 'pirategen els comptes' en línia i com protegir-se

Com protegir-se

Diverses claus al costat d

Ruslan Grumble/Shutterstock.com

Protegir-se de l'ompliment de credencials és bastant senzill i implica seguir les mateixes pràctiques de seguretat de contrasenyes que els experts en seguretat recomanen durant anys. No hi ha cap solució màgica, només una bona higiene de contrasenyes. Aquí teniu el consell:

    Eviteu reutilitzar contrasenyes:Utilitzeu una contrasenya única per a cada compte que utilitzeu en línia. D'aquesta manera, fins i tot si la contrasenya es filtra, no es pot utilitzar per iniciar la sessió a altres llocs web. Els atacants poden intentar introduir les vostres credencials en altres formularis d'inici de sessió, però no funcionaran. Utilitzeu un gestor de contrasenyes:Recordar contrasenyes úniques fortes és una tasca gairebé impossible si teniu comptes en molts llocs web, i gairebé tothom ho fa. Nosaltres recomenem utilitzant un gestor de contrasenyes M'agrada 1 Contrasenya (pagat) o Bitwarden (gratuït i de codi obert) per recordar les vostres contrasenyes. Fins i tot pot generar aquestes contrasenyes fortes des de zero. Activa l'autenticació de dos factors:Amb autenticació en dos passos , heu de proporcionar alguna cosa més, com ara un codi generat per una aplicació o enviat per SMS, cada vegada que inicieu sessió en un lloc web. Fins i tot si un atacant té el vostre nom d'usuari i contrasenya, no podrà iniciar la sessió al vostre compte si no té aquest codi. Obteniu notificacions de contrasenyes filtrades:Amb un servei com He estat enganxat? , tu pots rebre una notificació quan les vostres credencials apareguin en una filtració .

RELACIONATS: Com comprovar si us han robat la contrasenya

Com poden protegir els serveis contra l'ompliment de credencials

Tot i que els individus han d'assumir la responsabilitat de protegir els seus comptes, hi ha moltes maneres de protegir els serveis en línia dels atacs d'ompliment de credencials.

    Escaneja bases de dades filtrades per buscar contrasenyes d'usuari:Facebook i Netflix han escanejat bases de dades filtrades per a contrasenyes, fent-les referències creuades amb les credencials d'inici de sessió dels seus propis serveis. Si hi ha una coincidència, Facebook o Netflix poden demanar al seu propi usuari que canviï la seva contrasenya. Aquesta és una manera d'aconseguir el cop de puny als que fan credencials. Oferiu autenticació de dos factors:Els usuaris haurien de poder habilitar l'autenticació de dos factors per protegir els seus comptes en línia. Els serveis especialment sensibles poden fer-ho obligatori. També poden fer que un usuari faci clic a un enllaç de verificació d'inici de sessió en un correu electrònic per confirmar la sol·licitud d'inici de sessió. Requereix un CAPTCHA:Si un intent d'inici de sessió sembla estrany, un servei pot requerir introduir un codi CAPTCHA que es mostra en una imatge o fer clic a un altre formulari per verificar que un humà (i no un bot) està intentant iniciar la sessió. Limiteu els intents d'inici de sessió repetits: els serveis haurien d'intentar impedir que els robots intentin un gran nombre d'intents d'inici de sessió en un període curt de temps. Els robots moderns sofisticats poden intentar iniciar la sessió des de diverses adreces IP alhora per dissimular els seus intents d'omplir credencials.

Les pràctiques de contrasenya deficients i, per ser justos, els sistemes en línia poc segurs que sovint són massa fàcils de comprometre, fan que l'ompliment de credencials sigui un greu perill per a la seguretat del compte en línia. No és estrany moltes empreses del sector tecnològic volen construir un món més segur sense contrasenyes .

RELACIONATS: La indústria tecnològica vol matar la contrasenya. O ho fa?

LLEGIR A SEGUENT
  • › 5 llocs web que cada usuari de Linux hauria de marcar com a favorits
  • › Què és la protecció contra caigudes MIL-SPEC?
  • › Com trobar el vostre Spotify embolicat 2021
  • › Funcions i fórmules a Microsoft Excel: quina diferència hi ha?
  • › La carpeta de l'ordinador és 40: com la Xerox Star va crear l'escriptori
  • & rsaquo; Cyber ​​Monday 2021: les millors ofertes tecnològiques
Foto de perfil de Chris Hoffman Chris Hoffman
Chris Hoffman és editor en cap de How-To Geek. Ha escrit sobre tecnologia durant més d'una dècada i va ser columnista de PCWorld durant dos anys. Chris ha escrit per a The New York Times, ha estat entrevistat com a expert en tecnologia a cadenes de televisió com NBC 6 de Miami, i ha tingut el seu treball cobert per mitjans de comunicació com la BBC. Des del 2011, Chris ha escrit més de 2.000 articles que s'han llegit gairebé mil milions de vegades, i això és aquí a How-To Geek.
Llegeix la biografia completa

Articles D'Interès