Hackul OneLogin a fost serios și ne-a cuprins o lecție

Publicitate

Suntem mari fani managerii de parole Cum vă păstrează parolele în siguranță paroleleParolele greu de reținut sunt, de asemenea, greu de reținut. Vrei să fii în siguranță? Ai nevoie de un manager de parole. Iată cum funcționează și cum vă păstrează în siguranță. Citeste mai mult aici la MakeUseOf. Îți fac viața mai ușoară, accelerează multe procese și îți îmbunătățesc securitatea. Dar, de asemenea, concentrează informațiile dvs. de parolă sensibile într-un singur loc - și acest lucru poate fi periculos.

Exemplu: OneLogin, producătorul unei aplicații de conectare și administrare a parolei unice la nivel de întreprindere, a fost hacked pe 31 mai 2017. Și sunt o veste proastă. Iată ce s-a întâmplat, ce ar trebui să faci și câteva lecții pe care le putem învăța.

Ce s-a întâmplat la OneLogin?

Iată ce spune OneLogin:

„... un actor de amenințare a folosit una dintre cheile noastre AWS pentru a avea acces la platforma AWS prin API de la o gazdă intermediară cu un alt furnizor de servicii mai mic din SUA ...”

Ce inseamna asta? Înseamnă că cineva a căutat prin datele sensibile ale OneLogin. Și în timp ce o mare parte din aceste date sunt criptate, OneLogin consideră că atacatorii au fost capabili să decripteze cel puțin o parte din date.

Imediat ce tehnologiile OneLogin au detectat intruziunea, au închis sistemele care s-au infiltrat. Din păcate, sa raportat că nu au detectat intruziunea decât după șapte ore de la început. Este o perioadă lungă de timp pentru a trece prin datele sensibile.

La ce fel de date ar fi putut avea atacatorii?

„Actorul amenințător a putut accesa tabele de baze de date care conțin informații despre utilizatori, aplicații și diverse tipuri de chei.”

Cu toate că nu este clar care este scopul acestei liste, este cu siguranță o mulțime de lucruri sensibile.

În opinia lor, OneLogin a fost foarte corect în legătură cu acest incident. Au păstrat o postare actualizată pe blog pe site-ul lor, au comunicat cu clienții despre atac și au oferit sfaturi despre ce să facă. Până în prezent, nu există nicio indicație că compania a scos ceea ce s-a întâmplat. (Deși s-ar putea să fi redus cumva gravitatea atacului.)

Ce ar trebui să faci dacă folosești OneLogin

OneLogin a lansat rapid un ghid pentru a ajuta utilizatorii să atenueze orice efecte ale atacului (Registrul de asemenea a postat această listă pentru non-clienți). Lista include resetări de parole, noi jetoane de autentificare, scăparea de note sigure și o serie de alte sugestii tehnice la nivel de administrator.

Dacă sunteți un utilizator OneLogin, cursul de acțiune evident este mult mai simplu: schimbați parolele și actualizați-vă jetoanele de autentificare. Va dura ceva timp, dar merită făcut, deoarece există șanse foarte bune ca cineva să aibă acces la tot ceea ce ai stocat în contul tău. Schimbați parola principală, schimbați parolele în aplicații, schimbați tot ce ați stocat în OneLogin.

Și cosiți notele sigure.

Da, o să sugă. Dar va suge mult mai puțin decât ca unul dintre serviciile dvs. importante să fie preluat de un atacator (sau, poate, mai rău, deținut pentru răscumpărare).

Ce putem învăța de la OneLogin Hack

Prima și cea mai îngrijorătoare lecție este clară: companiile de conectare unică (SSO) și companiile de administrare a parolelor nu sunt imune la amenințările de securitate. Aceste companii știu că securitatea este o afacere mare pentru clienții lor și că dețin o cantitate imensă de informații valoroase.

Dar se întâmplă lucruri rele. În acest caz, tastele API care le-au oferit atacatorilor acces la OneLogin își au originea „de la o gazdă intermediară cu un altul mai mic furnizor de servicii din S.U.A. ” În ciuda dedicării OneLogin pentru securitate, este posibil ca deficiențele unei alte companii să-i fi lăsat pe atacatori în.

Din păcate, nicio companie nu este rezistentă la hack. Gestionarea parolelor și companiile SSO iau securitatea foarte în serios și, în general, fac o treabă bună. Dar acest lucru era obligat să se întâmple.

Mergând înainte, ce poți face? Iată câteva lucruri de care trebuie să țineți cont atunci când utilizați aceste tipuri de servicii.

Stocarea tuturor într-un loc este o idee proastă

Evident, veți păstra parolele în aplicația de gestionare a parolelor. Dar ar trebui să fie depozitul pentru toate a informațiilor dvs. sensibile? Poate nu.

Este ușor de utilizat notele sigure ale LastPass, de exemplu, pentru a păstra informațiile despre contul dvs. bancar sau parola Wi-Fi de acasă. Dar, dacă acest serviciu este piratat, acum te uiți și la mai multe probleme. S-ar putea să aveți deja stocate informațiile despre cardul dvs. de credit. Cu toate acestea, dacă adăugați alte câteva informații cheie 10 informații care sunt folosite pentru a vă fura identitateaFurtul de identitate poate fi costisitor. Iată cele 10 informații pe care trebuie să le protejați, astfel încât identitatea dvs. să nu fie furată. Citeste mai mult , furtul de identitate devine mult mai ușor.

Luați în considerare utilizarea unui alt serviciu criptat care nu stochează informații în cloud, cum ar fi SplashID, sau doar criptați și parola protejați un folder pe computer Cum să protejați o parolă în WindowsTrebuie să păstrați un folder Windows privat? Iată câteva metode pe care le puteți folosi pentru a vă proteja fișierele cu parolă pe un computer Windows 10. Citeste mai mult . Este puțin mai puțin convenabil, dar ar putea reduce semnificativ dificultatea în cazul unei încălcări.

Gândiți-vă de două ori despre conectarea unică

SSO este excelent, deoarece economisește o tonă de timp și îți păstrează parolele la minimum. OpenID, conectarea cu datele de rețea de socializare Folosind autentificare socială? Faceți acești pași pentru a vă asigura securitatea conturilorDacă utilizați un serviciu de conectare socială (cum ar fi Google sau Facebook), atunci puteți crede că totul este sigur. Nu este așa - este timpul să aruncăm o privire asupra punctelor slabe ale logen-urilor sociale. Citeste mai mult , și alte metode similare sunt destul de populare. (Pentru a fi complet sincer, eu le folosesc singură.)

Opțiunea mai sigură este să deschideți pur și simplu un cont cu adresa dvs. de e-mail pentru fiecare site. Dacă utilizați un manager de parole, acest lucru este ușor. Nu este la fel de ușor ca OAuth sau o conectare similară cu un singur clic, dar este cu siguranță mai sigur Cât de multe milioane de aplicații sunt vulnerabile la un singur hack de securitateOAuth este un standard deschis utilizat pentru a vă permite să vă conectați la o aplicație sau site web terță parte folosind un cont Facebook, Twitter sau Google - și este vulnerabil la hackeri. Citeste mai mult .

Pentru a fi corecte, unele persoane încurajează utilizarea înregistrării unice ca practică de securitate. Cântărește-ți opțiunile.

Utilizați autentificarea cu doi factori pe servicii importante

Am vorbit de nenumărate ori despre autentificarea cu doi factori, dar dacă nu îi cunoști, citiți totul despre asta Ce este autentificarea cu doi factori și de ce ar trebui să o utilizațiAutentificarea cu doi factori (2FA) este o metodă de securitate care necesită două moduri diferite de a vă dovedi identitatea. Este frecvent utilizat în viața de zi cu zi. De exemplu, plata cu un card de credit nu necesită doar cardul, ... Citeste mai mult si invata ce servicii îl pot utiliza Blocați acum aceste servicii cu autentificare cu doi factoriAutentificarea cu doi factori este modul inteligent de a vă proteja conturile online. Să aruncăm o privire la câteva dintre serviciile pe care le puteți bloca cu o mai bună securitate. Citeste mai mult . Apoi porniți-l.

Pentru ce servicii trebuie să utilizați autentificarea cu doi factori? Pe scurt, cât de multe poți. Cele mai importante servicii, cum ar fi e-mail, servicii bancare și stocare în cloud, ar trebui să fie protejate cu siguranță. Orice altceva este un bonus. Fa-o acum.

Rămâi atent

Utilizatorii OneLogin au învățat o lecție grea: niciun serviciu nu este sigur 100%. Acesta a fost un mod deosebit de dur de a învăța această lecție, dar pe termen lung poate fi pentru cei mai buni. Dacă sunteți un utilizator OneLogin, ar trebui să vă ocupați să ridicați piesele. Dacă nu, considerați-vă norocos și luați măsuri pentru a vă asigura că nu vi se va întâmpla.

Ați fost afectat de hackul OneLogin? Te face să te gândești de două ori la managerii de parole sau la aplicațiile de conectare unice? Împărtășește-ți gândurile în comentariile de mai jos!