من در حال حاضر 6 پیش نویس در محل کار دارم ، اما امروز می خواستم آن را بیرون بیاورم زیرا به عنوان یک کلاه خاکستری سابق هکر ، من مسئولیت گفتن به مردم را احساس می کنم وقتی چیزهای دیوانه وار را می بینم که در دنیای امنیت اطلاعات اتفاق می افتد.
شاید به همان اندازه که تا به حال دیده ام دیوانه است.
من دائماً با داده های حساس روبرو می شوم که در شبکه به سادگی گسترده است. فقط کمی کنجکاوی همه چیز لازم است و می توانید خود را در حال تماشای کوههای داده های شخصی از موسسات بزرگ و کوچک که میلیون ها نفر از افراد را در همه زوایای جهان پوشش می دهد ، پیدا کنید.
فقط در این هفته من سوابق کامل بیمار و دستور العمل های دارویی واقعی را که توسط پزشکان مشغول به کار در ده ها کلینیک و بیمارستان در سراسر هند بود ، فاش کردم. من پیدا کردم که یک شرکت ارتباطی چینی تمام پرونده های چت ارسال شده توسط کاربران خود را به یکدیگر ، از جمله عکس ، فیلم ، اسناد خصوصی و موارد دیگر ذخیره می کند. من داده های مربوط به یک شرکت آموزش مشاوره آموزش سنگاپور را پیدا کردم ، که تمام اسناد مسافرتی ، رسیدها و اطلاعات دقیق در مورد تمام سفرهای رسمی آنها ، از جمله مکان های مصرف و رها کردن (معمولاً از تاکسی یا Uber) ، فقط در خارج از منزل نشسته بود. گزارش های درآمد شخصی ، اسناد مالیاتی ، گذرنامه را پیدا کردم.
بیش از 15 سال پیش ، در یک وبلاگ ، من مدتهاست که وجود داشته ام ، توضیحی را نوشتم که با جزئیات توضیح می دهد که چگونه توانستم جستجوی گوگل را برای هر موضوع انجام دهم – در مورد من این بود “.قطعات رایانه برای یک کامپیوتر مغازه“-نتیجه 5 مورد برتر را انتخاب کنید و من بهتر از 50 ٪ شانس ارائه اسرار پنهان در سیستم های پشتی خود را با تلاش های جزئی داشتم.
برای اولین هدف من ، یک زنجیره فروشگاه کوچک در اینجا در استرالیا ، که به عنوان نتیجه دوم در جستجوی من ظاهر شد ، پایگاه داده آنها دارای متن ساده ، شماره کارت اعتباری ، نام و آدرس خانه برای هر سفارش در سیستم خود بود ، این پرونده ها برای کارمندان خود که وارد ثبت نام در فروشگاه شده بودند ، همه چیز را در اختیار داشت.
داده های من حدود 15-20 دقیقه طول کشید.
تقریباً هیچ کس در این زمان آن را نخوانده است ، به جز یک گروه کنجکاو کلاه سیاه که یک روز از آبی با من تماس گرفت و به من گفت که آنها می توانند از شخصی مانند من استفاده کنند (به صحنه اولیه ماتریس فکر کنید “” “بیدار شو ، نئو“، این کمی شبیه به این بود ، اگرچه قرص های آنها برای پذیرش آنها انتخاب شده بود ، اما این امر باعث می شد که من به جرم سازمان یافته تبدیل شوم.)
گفتم “متشکرم ، اما نه متشکرم.”
سپس ، اگرچه برای دسترسی به آن مدت زیادی طول نکشید ، اما لازم بود برخی تلاش اگر نمی دانستید چه کاری انجام می دهید ، بخش اعظم آنچه که من توانستم بدست آورم ، رمز و راز شما را به وجود می آورد. او به دانش ، مهارت و گاهی صبر نیاز داشت.
قبل از ظهور برنامه های وب و محاسبات ابر ، هکرها اغلب به رایانه ها و دستگاه های خانگی و تجاری هدایت می شوند. چرا؟ از آنجا که داده ها وجود داشتند ، اگرچه چه چیزی داده ها هر رایانه را بیشتر به یک فرد محدود می کرد.
با این حال ، در 10 سال گذشته همه چیز به شبکه منتقل شده است.
این تغییر منجر به سطوح بی سابقه راحتی کاربران شده است. در عین حال ، این منجر به تمرکز بزرگ در مقیاس اطلاعات در مورد سیستم هایی شده است که پیکربندی آنها واقعاً درک نمی کند. این امر باعث شده است که جمع آوری داده ها از هر کسی که دارای انگیزه است و مهارت های تقریباً صفر نیز بسیار راحت تر است.
تصور کنید که پزشک شما برای مدیریت کلینیک خود از یک سیستم جدید مبتنی بر ابر استفاده می کند. آنها بیماران ، دستور العمل ها ، فاکتورها و سفارشات و هر چیز دیگری را با استفاده از این سیستم یکپارچه و بسیار مناسب ذخیره می کنند. این سیستم همچنین در حدود 80 ٪ از کلینیک های منطقه شما و بسیاری از داروخانه های محلی و حتی یک بیمارستان بزرگ استفاده می شود.
در واقع ، این در حال حاضر دنیایی است که ما در آن زندگی می کنیم ، و شما حتی ممکن است متوجه آن نشوید.
در بیشتر موارد ، این شرکت هایی که این سیستم ها را توسعه می دهند ، مراکز داده خود را ندارند. در عوض ، آنها به یک ارائه دهنده ذخیره سازی ابری مانند Azure ، Amazon AWS یا Digital Ocean اعتماد می کنند.
بیشترین از این شرکت ها و توسعه دهندگان نرم افزاری که از ذخیره سازی ابری برای نگه داشتن داده ها استفاده می کنند یا نمی دانند چگونه تنظیمات امنیتی را برای جلوگیری از دسترسی غیرمجاز به درستی پیکربندی کنند ، یا عمداً تنظیمات امنیتی را برای تسهیل خود بچرخانند ، بنابراین نیازی به مقابله با گواهینامه ندارند.
تمام داده های ما بر روی تعداد معدودی از ارائه دهندگان ذخیره سازی ابری که توسط برنامه های کاربردی تلفن همراه ، برنامه های وب ، سیستم های BACFIS ، AIS تولیدی ، دستگاه های مسکن هوشمند ، اجرای قانون ، دولت ، آموزش ، آموزش و پرورش ، مراقبت های بهداشتی جمع شده است ، جمع شده است.
آنچه اکثر مردم تعرفه هکر روزانه می دانند ، البته اشتباه است ، اما نه فقط CSI “من آدرس IP شما را با ویژوال بیسیک پیگیری می کنم.” بسیاری از مردم بر این باورند که هکرها با هدف افراد خاص ، افراد خاص هستند. شما نمی دانید تعداد دفعاتی که کسانی که یاد گرفتند بلافاصله پرسیدم “آیا می توانید کسی را برای من هک کنید ؟؟“
این اصلاً اینگونه نیست. معمولاً شرکت کنندگان در ایالت پس از افراد خاص ادامه می دهند. آنها برای این نوع جراحی منابع و صبر دارند. هکرهای انفرادی یا این کار را برای سرگرمی انجام می دهند ، این کار را برای منافع شخصی انجام می دهند ، یا این کار را برای محافظت از خود در برابر هکرهای دیگر انجام می دهند. برای افرادی مانند من ، سرگرم کننده این نیست که به دنبال یک هدف خاص باشند: سرگرم کننده این است که در هر سیستم سوراخ پیدا کنید ، سوراخ هایی که می توانند این کار را برای انجام کارهایی انجام دهند که سیستم برای انجام آن طراحی نشده است یا اینکه به طور خاص برای جلوگیری از آن طراحی شده است.
هک کردن همیشه نوعی استمناء ذهنی بوده است. شما به کسی جز خودتان احتیاج ندارید.
بنابراین ، شما شخصاً؟ من نمی توانم به دنبال گزارش مالیات بر درآمد شخصی ، داده های کارت اعتباری ، تاریخچه پزشکی شما ، توسط FAD باشم. با این حال ، این جزئیات در حال حاضر می توانند در یک سرور ذخیره سازی عمومی در جایی در اینترنت قرار بگیرند ، به همراه میلیون ها نفر دیگر که آماده هستند هر یک برای جمع شدن و انجام کارهایی که با او انجام می دهند. احتمالاً هیچ کس حتی به شما نگفته است که این اطلاعات ذخیره می شود ، چه رسد به اینکه به صورت آنلاین میزبان باشید. هیچ کس اجازه شما را نمی پرسد ، فقط انتظار می رود “خط مشی رازداری” خود را در وب سایت خود بخواند و بپذیرد که این حتی دقیق و به روز است (که احتمالاً اینگونه نیست.)
اکنون من فقط نمی توانم بروم و دریابم که آیا داده های شما بدون بارگیری در آنجا وجود دارد و سپس غربال می شود. آیا همه مواردی را که فقط به دنبال یک نفر هستند مرور می کنید؟ این یک تلاش بسیار عظیم است ، حتی با ابزارهای خودکار. این مثل این است که به دنبال سوزن در بزرگترین یونجه باشید.
با این حال ، آنها علاقه ای به کلاه های سیاه ندارند – افرادی که این کار را برای سود شخصی انجام می دهند. آنها فقط آنچه را که می توانند برای همه پیدا کنند ، می بینند و می بینند که چگونه می توانند از این مزیت استفاده کنند ، برای سرقت هویت ، کلاهبرداری ، باج خواهی و غیره. این مانند ماهیگیری با یک شبکه غول پیکر است.
همچنین آسان تر است.
هر روز
ابزارهای خودکار به راحتی در معرض این سطل های گسترده ذخیره سازی باز قرار گرفتند. بسیاری از ارائه دهندگان SaaS وجود دارند که به شما امکان دسترسی به چنین ابزارهایی را می دهند.
این مشکل واقعی است: نمی دانم
فکر نکنید هر یک او واقعاً می داند.
تا کنون ، من بسیار کمتر احتمال دارد که داده های مدیریت شده توسط شرکت های مستقر در کشورهایی با قوانین امنیتی و اجرای داده های بیشتر را پیدا کنم: این هفته ها بیشتر از چین ، هند ، سنگاپور و روسیه و تنها مبلغ کمی از انگلستان ، اتحادیه اروپا و ایالات متحده بود.
با این حال ، چیزهای زیادی وجود دارد. تمام دنیا روی نرم افزار کار می کنند. هر شرکت به نوعی یک شرکت نرم افزاری فنی است. برای اطمینان از اینکه همه افراد به درستی ممیزی می کنند کار بزرگی است که هرگز به پایان نمی رسد.
بنابراین ، اگر من هیچ راه حلی ندارم ، چرا این همه را به شما می گویم؟
برای اینکه مهمترین نکات در مورد این موضوع را به شما ارائه دهم که می توانم: برای پذیرش هر آنچه که به هر شکلی می دهید ، احتمالاً روزی توسط شخصی با اهداف مخرب یک سطل داده باز در جایی در اینترنت پیدا می شود و به ترتیب عمل می کند.
-
وقت و تلاش خود را صرف یادگیری اصول اولیه تمرین امنیت اطلاعات کنید. از ابزارهای مدیریت رمز عبور مانند LastPass ، 1Password یا مورد علاقه شخصی من ، Bitwarden استفاده کنید ، بنابراین هرگز دو بار از همان رمز عبور استفاده نمی کنید.
-
برای هر چیزی که نمی خواهید هک کنید ، از تأیید هویت دو فاکتور استفاده کنید و بپذیرید که چیزی که در 2 عامل فعال نشده باشد ، در پایان هک می شود.
-
در نظر بگیرید که چه اطلاعاتی را از طریق سیستم های چت/فوری و ایمیل به پیام رسان ارسال می کنید
-
برای عشق خدا و هر آنچه مقدس است ، پیوست به پرونده ها را باز نکنید ، مگر اینکه بدانید آنها حتی وقتی توسط افرادی که به خوبی می شناسید ارسال می شود
-
هر کجا که زندگی کنید ، کمپین برای قوانین امنیتی داده های قوی تر برای حمایت از شرکت های مسئول و اطمینان از اینکه آنها تلاش های لازم را برای تأمین امنیت چیزهای شما خرج می کنند
این تنها چیزی است که تاکنون دریافت کرده ام. امیدواریم که برای برنامه بعدی به برنامه نویسی منظم برگردید.
توجه : این مطلب از منابع غیر فارسی به فارسی ترجمه شده است و ممکن است شامل خطا و ایردات ترجمه ای باشد !
