اوایل صبح جمعه، گزارش‌هایی مبنی بر اینکه هکرها امنیت را در archive.org، ماشین Wayback Internet Archive، نقض کرده‌اند، منتشر شد. تقریباً 31 میلیون رمز عبور به سرقت رفته است. علاوه بر این، هم archive.org و هم openlibrary.org قربانی یک حمله Distributed Denial of Service (DDoS) شده اند. در زمان نگارش این مقاله، هر دو سایت هنوز از کار افتاده اند.
اوایل صبح جمعه، گزارش‌هایی مبنی بر اینکه هکرها امنیت را در archive.org، ماشین Wayback Internet Archive، نقض کرده‌اند، منتشر شد. تقریباً 31 میلیون رمز عبور به سرقت رفته است. علاوه بر این، هم archive.org و هم openlibrary.org قربانی یک حمله Distributed Denial of Service (DDoS) شده اند. در زمان نگارش این مقاله، هر دو سایت هنوز از کار افتاده اند.
حمله DDoS و نقض داده ممکن است ربطی به هم نداشته باشند
گزارش Bleeping Computer برای اولین بار حمله DDoS و نقض امنیتی را شناسایی کرد. گروه هکریست Black Meta اعتبار حمله DDoS را بر عهده گرفته است. با این حال، هنوز مشخص نیست که آیا سرقت و حمله مرتبط هستند یا خیر. مشکلات از بعدازظهر چهارشنبه شروع شد، زمانی که یک پیام رمزنگاری جاوا اسکریپت به کاربرانی که وارد archive.org می شدند خوشامد گفت. خوانده شد:
آیا تا به حال احساس کرده‌اید که آرشیو اینترنت روی چوب اجرا می‌شود و دائماً در آستانه ابتلا به یک نقض فاجعه‌بار امنیتی است؟ این اتفاق افتاده است. 31 میلیون نفر از شما را در HIBP ببینم!
HIBP به Have I Been Pwned اشاره دارد، یک سرویس آنلاین که افراد را قادر می‌سازد تا نشت داده‌های احتمالی را بررسی کنند و در صورت به خطر افتادن اطلاعاتشان، اعلان‌ها را دریافت کنند.
تروی هانت، مالک HIBP، اظهار داشت که هکری که مسئول نقض اطلاعات است، یک فایل 6.4 گیگابایتی را با HIBP به اشتراک گذاشته است که حاوی جزئیات حیاتی برای حساب های Wayback Machine است. این داده ها شامل نام های صفحه نمایش، گذرواژه های هش شده BCrypt و آدرس های ایمیل بود. مهرهای زمانی روی پرونده نشان می دهد که سرقت در 28 سپتامبر رخ داده است.
آیا باید نگران بود؟
بله، و نه. خبر خوب این است که یک لایه امنیتی اضافی برای رمزهای عبور هش شده Bcrypt وجود دارد. این رمزگذاری می تواند به حفظ امنیت اطلاعات شما کمک کند.
آدام براون، مشاور امنیتی در بلک داک، در نقل قولی که به فوربس داده شده است، بیان می‌کند: «استفاده از Bcrypt، اگر به درستی اجرا شود، از استخراج رمز عبور جلوگیری می‌کند. در حالی که در صورت استفاده از گذرواژه‌های رایج می‌توان هش‌ها را جست‌وجو کرد، اما اگر هش‌ها مانند Bcrypt نمک زده شوند، تا حد زیادی از استفاده از جداول جستجوی هش جلوگیری می‌کند. بلک داک یک شرکت امنیتی برجسته است که بر امنیت برنامه ها تمرکز دارد.
با این حال، تغییر منظم رمزهای عبور یک اقدام ایمنی مهم است، به خصوص زمانی که نقضی مانند این اتفاق می افتد. اگر نگران داده‌های خود هستید، احتمالا اکنون زمان مناسبی برای به‌روزرسانی است. و اگر در حال حاضر از کلیدهای عبور یا یک مدیر رمز عبور اختصاصی استفاده نمی کنید، آنها را به عنوان بخشی از رژیم امنیتی آنلاین خود در نظر بگیرید.