Kai kalba pasisuka apie asmeninių duomenų saugumą internete, viena iš pirmųjų vietų, kurią patyrę IT žmonės pasiūlo patikrinti, yra Have I Been Pwned. Šis įrankis egzistuoja jau ne vienerius metus, bet nemažai žmonių apie jį sužino tik tada, kai kažkas nutinka – gauna įtartiną laišką, pastebi keistą prisijungimą prie paskyros arba tiesiog perskaito naujienoje, kad kažkuri didelė kompanija nutekino milijonus vartotojų duomenų. Tuomet ir prasideda paieška, kaip sužinoti, ar tavo duomenys pateko į tas nutekėjimų bazes.
Have I Been Pwned (sutrumpintai HIBP) yra Troy Hunt sukurta ir palaikoma svetainė, kurioje surinktos duomenų nutekėjimų (data breach) bazės iš šimtų skirtingų šaltinių. Vartotojas gali įvesti savo el. pašto adresą ar telefono numerį ir per kelias sekundes sužinoti, ar jo duomenys buvo aptikti kokiame nors žinomame nutekėjime. Skamba paprastai, bet realybėje šis įrankis turi daugiau funkcijų nei atrodo iš pirmo žvilgsnio, todėl vertėtų išsamiau pažiūrėti, kaip juo naudotis efektyviai.
Kas iš tikrųjų yra ta duomenų bazė
Verta suprasti, kad HIBP nėra kažkokia „hakerių“ sistema, kuri renka duomenis pati. Tai agregatorius – svetainė surenka viešai pasirodžiusius nutekėjimų failus (kuriuos dažniausiai publikuoja arba parduoda kibernetiniai nusikaltėliai forumuose, Telegram grupėse ar tamsiajame tinkle), juos apdoroja ir indeksuoja. Kai kompanija praneša apie saugumo incidentą arba kai tyrėjai atranda paliktą atvirą duomenų bazę internete, tie duomenys galiausiai gali atsidurti HIBP sistemoje.
Svarbu žinoti, kad bazėje yra ne tik el. pašto adresai. Kai kuriuose nutekėjimuose kartu su adresu saugomi ir kiti duomenys – slaptažodžiai (dažnai jau atšifruoti arba hash formatu), telefono numeriai, IP adresai, kartais net fizinis adresas ar gimimo data. Kai patikrinate savo el. paštą, sistema parodo, kuriuose konkrečiuose nutekėjimuose jis buvo aptiktas, ir nurodo, kokio tipo informacija tame nutekėjime buvo atskleista.
Kaip patikrinti savo el. paštą per porą minučių
Procesas iš tiesų yra elementarus. Reikia nueiti į haveibeenpwned.com, laukelyje įvesti savo el. pašto adresą ir spausti mygtuką „pwned?“. Sistema per kelias sekundes atlieka paiešką ir parodo vieną iš dviejų rezultatų:
- Žalias langas su varnele – reiškia, kad šis adresas nebuvo rastas jokioje žinomoje nutekėjimo bazėje. Tai gera žinia, bet ne garantija, kad viskas visada bus gerai.
- Raudonas langas su sąrašu – rodo visus nutekėjimus, kuriuose jūsų adresas buvo aptiktas, kartu su data, kompanijos pavadinimu ir tuo, kokio tipo duomenys nutekėjo.
Kai matote raudoną rezultatą, pirmas instinktas gali būti panika, bet reikia suprasti, kad daugelis interneto vartotojų šiandien turi bent vieną ar kelis nutekėjimus savo istorijoje. Tai nebūtinai reiškia, kad jūsų paskyra buvo tiesiogiai pažeista – kartais tai reiškia, kad kažkokia paslauga, kuria naudojotės prieš dešimt metų (tarkim, forumas, kurio jau nė nebeprisimenate), buvo nulaužta.
Slaptažodžių tikrinimas – atskira ir labai naudinga funkcija
Be el. pašto paieškos, HIBP turi ir kitą, gal net svarbesnę funkciją – Pwned Passwords. Ten galima įvesti konkretų slaptažodį (ne el. paštą) ir sužinoti, ar jis kada nors pasirodė kokiame nors nutekėjime. Ši dalis veikia kitaip nei el. pašto paieška – slaptažodis nesiunčiamas į serverį pilnu tekstu, naudojamas k-anonymity metodas, kai siunčiama tik dalis hash reikšmės, o pilnas atitikimas tikrinamas lokaliai naršyklėje. Tai reiškia, kad net teoriškai jūsų slaptažodis nekeliauja per internetą atviru pavidalu.
Jeigu slaptažodis pasirodo bazėje kaip „pwned“ su nurodytu pasikartojimų skaičiumi (kartais tas skaičius siekia milijonus), tai reiškia, kad jis yra plačiai žinomas nusikaltėliams ir naudojamas taip vadinamuose credential stuffing atakose – kai automatizuotos programos bando tą pačią slaptažodžio ir el. pašto kombinaciją tūkstančiuose skirtingų svetainių. Toks slaptažodis, net jei jis „stiprus“ pagal ilgį ir simbolių įvairovę, jau yra bevertis saugumo požiūriu, jei jis kartojasi keliose jūsų paskyrose.
Praktinis patarimas – jei naudojate slaptažodžių tvarkyklę (pvz., Bitwarden, 1Password), daugelis jų turi integruotą patikrą prieš Pwned Passwords bazę ir automatiškai įspėja, kai bandote naudoti kompromituotą slaptažodį naujoje paskyroje.
Notify Me – kai norite sekti ateities nutekėjimus
Vienkartinis patikrinimas yra gerai, bet duomenų nutekėjimai vyksta nuolat, tad naudingiau susikurti stebėjimą. HIBP turi funkciją „Notify me“, kurioje galima užsiregistruoti savo el. paštu, ir jei ateityje tas adresas pasirodys naujame nutekėjime, gausite pranešimą laišku. Registracija reikalauja patvirtinimo per laišką (kad kažkas negalėtų sekti jūsų adreso be žinios), po to sistema tyliai dirba fone.
Tai patogu tiems, kurie turi vieną pagrindinį el. pašto adresą ir norėtų sužinoti apie problemas kaip galima greičiau, o ne po pusmečio, kai atsitiktinai užsuka į svetainę patikrinti.
Domenų tikrinimas verslui
Jeigu turite savo domeną (pvz., įmonės el. pašto adresai naudoja @jusuimone.lt), HIBP leidžia registruoti visą domeną, ne tik pavienį adresą. Tai reikalauja patvirtinti domeno nuosavybę (per DNS TXT įrašą arba specialų failą serveryje), bet po patvirtinimo galite gauti pranešimus apie visus el. pašto adresus tame domene, kurie pasirodo nutekėjimuose. Tai naudinga IT administratoriams, kurie prižiūri didesnę organizaciją ir norėtų turėti bendrą vaizdą, o ne tikrinti kiekvieną darbuotoją atskirai.
Šis domeno tikrinimo funkcionalumas kadaise buvo nemokamas, bet dabar dalis šios funkcijos priklauso mokamai HIBP API prenumeratai – verslams tai nėra didelė kaina, atsižvelgiant į naudą.
API galimybės tiems, kas moka programuoti
HIBP turi ir viešą API, kuris leidžia integruoti patikras į savo pačių sistemas. Pavyzdžiui, registracijos formoje galima automatiškai patikrinti, ar naujas vartotojo el. paštas ar slaptažodis nėra jau kompromituotas, ir įspėti apie tai iš karto. Pwned Passwords API dalis yra nemokama ir gali būti naudojama neribotai, tuo tarpu el. pašto paieškos API reikalauja mokamos prenumeratos (rate limiting apsaugai nuo piktnaudžiavimo).
Kainos yra santykinai nedidelės, palyginti su nauda, kurią gauna kompanijos, integruojančios šią patikrą savo produktuose. Daugelis populiarių slaptažodžių tvarkyklių ir saugumo įrankių jau naudoja šį API savo funkcionalume.
Ką daryti, kai randate save nutekėjimų sąraše
Radus save raudonam sąraše, verta imtis kelių konkrečių žingsnių, ne vien panikuoti:
- Pasikeisti slaptažodį tos konkrečios paslaugos, kuri nutekėjo, jei ta paskyra vis dar naudojama.
- Patikrinti, ar tas pats slaptažodis naudojamas kitur, ir jei taip – pakeisti visur, kur pakartojamas.
- Įjungti dviejų faktorių autentifikaciją (2FA) tose paskyrose, kur tai galima, nes net jei slaptažodis pateks į blogas rankas, papildomas žingsnis apsaugo paskyrą.
- Jei nutekėjo jautresni duomenys (asmens kodas, banko informacija), verta sekti savo finansines sąskaitas ir kredito istoriją atidžiau kelis mėnesius.
- Nustoti naudoti tą pačią slaptažodžio kombinaciją keliose vietose – tai bene svarbiausia praktika iš visų.
Vienas įrankis, kuris turi būti kiekvieno skaitmeninėje higienoje
Have I Been Pwned nėra magiškas sprendimas, kuris apsaugo nuo visų grėsmių, ir jis to nė nežada. Jo stiprybė yra kitokia – jis paverčia abstrakčią „kibernetinio saugumo“ temą kažkuo konkrečiu ir asmenišku. Įvedus savo el. paštą ir pamačius realų sąrašą svetainių, kurios kadaise nutekino duomenis, saugumo klausimas nustoja būti teorinis.
Praktiškai vertėtų susikurti įprotį patikrinti savo pagrindinius el. pašto adresus kartą per kelis mėnesius, užsiregistruoti „Notify me“ funkcijai ilgalaikiam sekimui ir naudoti Pwned Passwords patikrą kaskart, kai kuriate naują svarbią paskyrą. Jei vadovaujate mažai įmonei, verta apsvarstyti domeno registraciją – tai leidžia sužinoti apie problemas anksčiau nei jas pastebi klientai ar žiniasklaida.
Ir galiausiai – nesvarbu, kokį rezultatą matote HIBP svetainėje, geriausia apsauga išlieka ta pati, apie kurią kalbama jau metų metus: unikalūs slaptažodžiai kiekvienai paskyrai, slaptažodžių tvarkyklė, kuri tuos slaptažodžius atsimena už jus, ir dviejų faktorių autentifikacija visur, kur ji prieinama. HIBP tiesiog padeda suprasti, kada ir kodėl šie žingsniai iš tiesų yra būtini, o ne tik geras patarimas iš IT skyriaus.
