Forwarded from Packops - آموزشهای دواپس (Farshad Nickfetrat)
آموزش ویدیویی اختصاصی کامل BashScripting
در کانال گیک گپ @geekgap
گیک گپ مرجع گیک های ایران لطفا دوستان خود را دعوت کنید
در کانال گیک گپ @geekgap
گیک گپ مرجع گیک های ایران لطفا دوستان خود را دعوت کنید
سخنرانی لینوس توروالدز در TED درباره شکلگیری لینوکس و ایده open-source (زیرنویس فارسی هم دارد) :
💚🇮🇷@geekgap🇮🇷💚
https://www.ted.com/talks/linus_torvalds_the_mind_behind_linux?utm_campaign=tedspread-b&utm_medium=referral&utm_source=tedcomshare
💚🇮🇷@geekgap🇮🇷💚
https://www.ted.com/talks/linus_torvalds_the_mind_behind_linux?utm_campaign=tedspread-b&utm_medium=referral&utm_source=tedcomshare
Ted
The mind behind Linux
Linus Torvalds transformed technology twice -- first with the Linux kernel, which helps power the Internet, and again with Git, the source code management system used by developers worldwide. In a rare interview with TED Curator Chris Anderson, Torvalds discusses…
کتاب مفید #Microsoft System Center, Hyper_V https://t.iss.one/geekgap
آلوده شدن بیش از 700 میلیون ایمیل توسط روبات اسپم Onliner
@geekgap
تله Onliner Spambot بزرگترین رخنهی امنیتی امسال است، سالی که در آن تا به حال شاهد نشت داده های بسیار زیادی بودهایم. این رخنهها که شامل River City Media, Verizon, Lynda, Deep Root Analytics, Edmodo و Atlassian HipChat در مقایسه با Onliner Spambot بسیار کم خطر و سطحی هستند.
Onliner Spambot توسط یک محقق امنیتی فرانسوی شناسایی شد. Spambot تا به حال 700 میلیون ایمیل شخصی، رمز و سرور ایمیل را دزدیده و از آنها برای فرستادن اسپم استفاده میکند. از این روبات اسپم برای فرستادن تروجان بانکداری Ursnif به کاربران دیگر استفاده میشود. بنکو تخمین زده که تا به حال صد هزار سیستم در سراسر دنیا به این تروجان آلوده شده اند.
تروجان Ursnif اطلاعاتی مثل اطلاعات احراز هویت، اطلاعات بانکی، رمزها و غیره را میدزدد. اما چیزی که Onliner را از دیگر روباتهای اسپم متمایز میسازد روش اسپم فرستادن بسیار پیشرفتهی آن است.
روش معمولی فرستادن اسپم خیلی راحت شناسایی میشود. فیلترهای اسپم روز به روز هوشمندتر میشوند و اسپمها را به لیست سیاه اضافه میکنند.
در عوض Onliner اطلاعات محرمانهی سرور را از نشت دادههای موجود دریافت کرده و لیست عظیمی از حسابهای کاربری واقعی ساخته تا توسط آنها اسپم بفرستد. در نتیجه ایمیلی که به نظر یک حساب کاربری ایمیل رسمی است خیلی راحت از فیلتر اسپم رد میشود.
سپس به جای این که قربانیان را با اسپم بمبباران کنند، روبات اسپم یک ایمیل حاوی یک عکس اثر انگشت یک پیکسلی به قربانی میفرستد. وقتی که ایمیل باز است، عکس پیکسلی اطلاعات مهم، از جمله آدرس IP کاربر و غیره را به مکانی نامعلوم میفرستد. این کار به هکرها اجازه میدهد تا بدانند که به کدام کامپیوتر باید حمله کرد.
چک کردن ایمیل :
اول از همه به وب سایت
https://haveibeenpwned.com
رفته و آدرس ایمیل خود را در نوار جست و جو وارد کنید تا ببینید که ایمیل شما در معرض خطر قرار دارد یا خیر.
اگر آدرس شما از طریق هر نشت دادهای مورد سوءاستفاده قرار گرفته شده باشد شما میفهمید.
اگر در معرض خطر بودید باید پسورد ایمیل خود را تغییر دهید تا اطلاعات حساس و مهمتان در معرض خطر قرار نگیرند.
سپس برای همهی حسابهای خود احراز هویت دوعاملی بسازید و حتماً از یک پسورد منیجر برای حفظ امنیت و مدیریت رمزهای خود استفاده کنید.
@geekgap
@geekgap
تله Onliner Spambot بزرگترین رخنهی امنیتی امسال است، سالی که در آن تا به حال شاهد نشت داده های بسیار زیادی بودهایم. این رخنهها که شامل River City Media, Verizon, Lynda, Deep Root Analytics, Edmodo و Atlassian HipChat در مقایسه با Onliner Spambot بسیار کم خطر و سطحی هستند.
Onliner Spambot توسط یک محقق امنیتی فرانسوی شناسایی شد. Spambot تا به حال 700 میلیون ایمیل شخصی، رمز و سرور ایمیل را دزدیده و از آنها برای فرستادن اسپم استفاده میکند. از این روبات اسپم برای فرستادن تروجان بانکداری Ursnif به کاربران دیگر استفاده میشود. بنکو تخمین زده که تا به حال صد هزار سیستم در سراسر دنیا به این تروجان آلوده شده اند.
تروجان Ursnif اطلاعاتی مثل اطلاعات احراز هویت، اطلاعات بانکی، رمزها و غیره را میدزدد. اما چیزی که Onliner را از دیگر روباتهای اسپم متمایز میسازد روش اسپم فرستادن بسیار پیشرفتهی آن است.
روش معمولی فرستادن اسپم خیلی راحت شناسایی میشود. فیلترهای اسپم روز به روز هوشمندتر میشوند و اسپمها را به لیست سیاه اضافه میکنند.
در عوض Onliner اطلاعات محرمانهی سرور را از نشت دادههای موجود دریافت کرده و لیست عظیمی از حسابهای کاربری واقعی ساخته تا توسط آنها اسپم بفرستد. در نتیجه ایمیلی که به نظر یک حساب کاربری ایمیل رسمی است خیلی راحت از فیلتر اسپم رد میشود.
سپس به جای این که قربانیان را با اسپم بمبباران کنند، روبات اسپم یک ایمیل حاوی یک عکس اثر انگشت یک پیکسلی به قربانی میفرستد. وقتی که ایمیل باز است، عکس پیکسلی اطلاعات مهم، از جمله آدرس IP کاربر و غیره را به مکانی نامعلوم میفرستد. این کار به هکرها اجازه میدهد تا بدانند که به کدام کامپیوتر باید حمله کرد.
چک کردن ایمیل :
اول از همه به وب سایت
https://haveibeenpwned.com
رفته و آدرس ایمیل خود را در نوار جست و جو وارد کنید تا ببینید که ایمیل شما در معرض خطر قرار دارد یا خیر.
اگر آدرس شما از طریق هر نشت دادهای مورد سوءاستفاده قرار گرفته شده باشد شما میفهمید.
اگر در معرض خطر بودید باید پسورد ایمیل خود را تغییر دهید تا اطلاعات حساس و مهمتان در معرض خطر قرار نگیرند.
سپس برای همهی حسابهای خود احراز هویت دوعاملی بسازید و حتماً از یک پسورد منیجر برای حفظ امنیت و مدیریت رمزهای خود استفاده کنید.
@geekgap
Have I Been Pwned
Have I Been Pwned: Check if your email address has been exposed in a data breach
Have I Been Pwned allows you to check whether your email address has been exposed in a data breach.
نفوذگران دادههای ۶ میلیون حساب کاربری اینستاگرام را در وبگاه Doxagram به فروش گذاشتهاند
💚🇮🇷@geekgap🇮🇷💚
به گزارش وبگاه اخبار امنیتی فنآوری اطلاعات و ارتباطات :
اینک دیگر خبرهای رسمی نیز تایید میکنند که شبکهی اینستاگرام دچار یک نقض دادهی عظیم شده و نفوذگران ناشناس توانستهاند اطلاعات مربوط به پروفایلهای ۶ میلیون کاربر را در این شبکه به سرقت ببرند. همین دیروز بود که اینستاگرام یک آسیبپذیری در واسطهای برنامهنویسی را وصله کرد که نفوذگران با بهرهبرداری از آن میتوانستند به اطلاعات شماره تماس و آدرسهای رایانامهی کاربران دسترسی داشته باشند.
💚🇮🇷@geekgap🇮🇷💚
حال به نظر میرسد نفوذ به اینستاگرام بسیار جدیتر از آن چیزی است که در ابتدای امر گزارش شده بود. دیگر بحث چند هزار پروفایل ردهبالا مطرح نیست و گفته میشود بیش از ۶ میلیون حساب کاربری تحت تاثیر این نفوذ قرار گرفتهاند. اطلاعات به سرقت رفته از جمله شماره تماس و آدرسهای رایانامه در یک وبگاه با نام Doxagram برای فروش گذاشته شده است.
💚🇮🇷@geekgap🇮🇷💚
نفوذگر ناشناس اینستاگرام وبگاه Doxagram را راهاندازی کرده که یک سرویس جستجوی اینستاگرام است که هرکسی با استفاده از آن میتواند اطلاعات سرقتی مربوط به هر حساب کاربری را با هزینهی ۱۰ دلار انجام دهد. محققی از شرکت کسپرسکی که آسیبپذیری مورد نظر را در اینستاگرام کشف کرده، به خبرگزاریها گفت که این آسیبپذیری بهطور ویژه در واسط برنامهنویسی تلفن همراه اینستاگرام وجود داشته و در گزینهی بازیابی گذرواژه قابل مشاهده است. این آسیبپذیری باعث افشای اطلاعات پروفایل مانند شماره تماس و آدرس رایانامه در قالب JSON میشود ولی گذرواژهها تحت تاثیر قرار نگرفتهاند.
💚🇮🇷@geekgap🇮🇷💚
هنوز اینستاگرام این نفوذ را تایید نکرده است ولی روز جمعه اعلام کرد که این نقض داده را بررسی خواهد کرد. همچنین اینستاگرام تایید نکرده که آیا این نقض دادهی جدید با نفوذ قبلی به پروفایلهای ردهبالا مرتبط است یا خیر. اینستاگرام به کاربران تاییدشدهی خود این نقض داده را از طریق رایانامه اطلاع داده است و به آنها اطلاع داده در خصوص دریافت تماس تلفنی و پیامهای متنی بسیار محتاط باشند.
💚🇮🇷@geekgap🇮🇷💚
با در دست داشتن شماره تماس و آدرسهای رایانامه، در مرحلهی بعدی نفوذگران میتوانند از شیوههای مهندسی اجتماعی بهره برده و در ادامه به حسابهای کاربران دست یابند. اینستاگرام همچنین به کاربران توصیه کرده بر روی حسابهای کاربری خود احراز هویت دوعاملی را فعال کرده و از گذرواژههای متفاوت و قوی برای حفاظت از حسابهای کاربری استفاده کنند. همچنین به کاربران پیشنهاد میشود در صورت دریافت رایانامههای مشکوک، بر روی پیوندهای موجود بر روی آن کلیک نکنند.💚🇮🇷@geekgap🇮🇷💚
💚🇮🇷@geekgap🇮🇷💚
به گزارش وبگاه اخبار امنیتی فنآوری اطلاعات و ارتباطات :
اینک دیگر خبرهای رسمی نیز تایید میکنند که شبکهی اینستاگرام دچار یک نقض دادهی عظیم شده و نفوذگران ناشناس توانستهاند اطلاعات مربوط به پروفایلهای ۶ میلیون کاربر را در این شبکه به سرقت ببرند. همین دیروز بود که اینستاگرام یک آسیبپذیری در واسطهای برنامهنویسی را وصله کرد که نفوذگران با بهرهبرداری از آن میتوانستند به اطلاعات شماره تماس و آدرسهای رایانامهی کاربران دسترسی داشته باشند.
💚🇮🇷@geekgap🇮🇷💚
حال به نظر میرسد نفوذ به اینستاگرام بسیار جدیتر از آن چیزی است که در ابتدای امر گزارش شده بود. دیگر بحث چند هزار پروفایل ردهبالا مطرح نیست و گفته میشود بیش از ۶ میلیون حساب کاربری تحت تاثیر این نفوذ قرار گرفتهاند. اطلاعات به سرقت رفته از جمله شماره تماس و آدرسهای رایانامه در یک وبگاه با نام Doxagram برای فروش گذاشته شده است.
💚🇮🇷@geekgap🇮🇷💚
نفوذگر ناشناس اینستاگرام وبگاه Doxagram را راهاندازی کرده که یک سرویس جستجوی اینستاگرام است که هرکسی با استفاده از آن میتواند اطلاعات سرقتی مربوط به هر حساب کاربری را با هزینهی ۱۰ دلار انجام دهد. محققی از شرکت کسپرسکی که آسیبپذیری مورد نظر را در اینستاگرام کشف کرده، به خبرگزاریها گفت که این آسیبپذیری بهطور ویژه در واسط برنامهنویسی تلفن همراه اینستاگرام وجود داشته و در گزینهی بازیابی گذرواژه قابل مشاهده است. این آسیبپذیری باعث افشای اطلاعات پروفایل مانند شماره تماس و آدرس رایانامه در قالب JSON میشود ولی گذرواژهها تحت تاثیر قرار نگرفتهاند.
💚🇮🇷@geekgap🇮🇷💚
هنوز اینستاگرام این نفوذ را تایید نکرده است ولی روز جمعه اعلام کرد که این نقض داده را بررسی خواهد کرد. همچنین اینستاگرام تایید نکرده که آیا این نقض دادهی جدید با نفوذ قبلی به پروفایلهای ردهبالا مرتبط است یا خیر. اینستاگرام به کاربران تاییدشدهی خود این نقض داده را از طریق رایانامه اطلاع داده است و به آنها اطلاع داده در خصوص دریافت تماس تلفنی و پیامهای متنی بسیار محتاط باشند.
💚🇮🇷@geekgap🇮🇷💚
با در دست داشتن شماره تماس و آدرسهای رایانامه، در مرحلهی بعدی نفوذگران میتوانند از شیوههای مهندسی اجتماعی بهره برده و در ادامه به حسابهای کاربران دست یابند. اینستاگرام همچنین به کاربران توصیه کرده بر روی حسابهای کاربری خود احراز هویت دوعاملی را فعال کرده و از گذرواژههای متفاوت و قوی برای حفاظت از حسابهای کاربری استفاده کنند. همچنین به کاربران پیشنهاد میشود در صورت دریافت رایانامههای مشکوک، بر روی پیوندهای موجود بر روی آن کلیک نکنند.💚🇮🇷@geekgap🇮🇷💚
@geekgap
پلیس روسیه درباره خودکشی های ناشی از یک چالش اینترنتی موسوم به «نهنگ آبی» در این کشور تحقیق بعمل می آورد؛ این چالش از نوجوانان می خواهد تا به زندگی خود پایان دهند.
گروهی که این چالش اینترنتی را مدیریت می کنند به مدت ۵۰ روز از مخاطبان نوجوانان می خواهند تا روزانه کاری را که از آنها خواسته شده است را انجام دهند و در پایان، عکسی از تکلیف خود را بفرستند تا بتوانند وارد مرحله بعد شوند. مرحله نخست این چالش کشیدن یک نهنگ آبی روی دست است.
خودزنی، حک شکل و شماره با چاقو بر ساعد، تماشای فیلم های وحشت آور، حاضر شدن در اماکن، سازه ها و بلندی های خطرناک برای گرفتن عکس سلفی و بیدار شدن در ساعات نامعمول بخش هایی از این چالش است که هر روز و رفته رفته سخت تر و سخت تر می شود و در پایان پنجاهمین روز از نوجوانی که «بازی» را شروع کرده، خواسته می شود تا خودکشی کند.
حادثه ای که در آن نوجوانی خود را به زیر قطار انداخت و یا دختری به نام یولیا کونستانینوا، ۱۵ ساله که خود را از پشت بام ساختمانی ۱۴ طبقه به پایین افکند به گروه گردانندۀ بازی نهنگ آبی نسبت داده می شود.
پلیس روسیه در همین ارتباط دو نوجوان را بازداشت کرده است که گمان می رود از صحنه خودکشی یولیا فیلم برداری می کرده اند.
روزنامه نووایا گزتا می نویسد که از نوامبر سال ۲۰۱۵ تا آوریل سال ۲۰۱۶ میلادی ۱۳۰ مورد اقدام به خودکشی را در ارتباط با بازی نهنگ آبی ثبت کرده است. پلیس روسیه هم در این خصوص تحقیق می کند و گمان می برد که حداقل ۱۳۰ مورد اقدام به خودکشی در ارتباط با بازی نهنگ آبی بوده است.
سال گذشته پلیس روسیه جوانی ۲۱ ساله به نام «فیلیپ بودیکین» را دستگیر کرد که گمان می رود سردسته گروهی بوده که از طریق اینترنت نوجوانان و جوانان را به خودکشی ترغیب می کرده اند.
یکی از شبکه های اجتماعی و اینترنتی که این گروهها در آن فعال هستند «وی کی» نام دارد. وی کی مخفف وی کنتاکته (VKontakte) شبکۀ اجتماعی روسی است که به فیسبوک شبیه است و کاربران بسیاری از جمله در روسیه، اوکراین و مولدوای و قزاقستان دارد.
این چالش اینترنتی اخیرا در ایران هم رایج شده است.
@geekgap
پلیس روسیه درباره خودکشی های ناشی از یک چالش اینترنتی موسوم به «نهنگ آبی» در این کشور تحقیق بعمل می آورد؛ این چالش از نوجوانان می خواهد تا به زندگی خود پایان دهند.
گروهی که این چالش اینترنتی را مدیریت می کنند به مدت ۵۰ روز از مخاطبان نوجوانان می خواهند تا روزانه کاری را که از آنها خواسته شده است را انجام دهند و در پایان، عکسی از تکلیف خود را بفرستند تا بتوانند وارد مرحله بعد شوند. مرحله نخست این چالش کشیدن یک نهنگ آبی روی دست است.
خودزنی، حک شکل و شماره با چاقو بر ساعد، تماشای فیلم های وحشت آور، حاضر شدن در اماکن، سازه ها و بلندی های خطرناک برای گرفتن عکس سلفی و بیدار شدن در ساعات نامعمول بخش هایی از این چالش است که هر روز و رفته رفته سخت تر و سخت تر می شود و در پایان پنجاهمین روز از نوجوانی که «بازی» را شروع کرده، خواسته می شود تا خودکشی کند.
حادثه ای که در آن نوجوانی خود را به زیر قطار انداخت و یا دختری به نام یولیا کونستانینوا، ۱۵ ساله که خود را از پشت بام ساختمانی ۱۴ طبقه به پایین افکند به گروه گردانندۀ بازی نهنگ آبی نسبت داده می شود.
پلیس روسیه در همین ارتباط دو نوجوان را بازداشت کرده است که گمان می رود از صحنه خودکشی یولیا فیلم برداری می کرده اند.
روزنامه نووایا گزتا می نویسد که از نوامبر سال ۲۰۱۵ تا آوریل سال ۲۰۱۶ میلادی ۱۳۰ مورد اقدام به خودکشی را در ارتباط با بازی نهنگ آبی ثبت کرده است. پلیس روسیه هم در این خصوص تحقیق می کند و گمان می برد که حداقل ۱۳۰ مورد اقدام به خودکشی در ارتباط با بازی نهنگ آبی بوده است.
سال گذشته پلیس روسیه جوانی ۲۱ ساله به نام «فیلیپ بودیکین» را دستگیر کرد که گمان می رود سردسته گروهی بوده که از طریق اینترنت نوجوانان و جوانان را به خودکشی ترغیب می کرده اند.
یکی از شبکه های اجتماعی و اینترنتی که این گروهها در آن فعال هستند «وی کی» نام دارد. وی کی مخفف وی کنتاکته (VKontakte) شبکۀ اجتماعی روسی است که به فیسبوک شبیه است و کاربران بسیاری از جمله در روسیه، اوکراین و مولدوای و قزاقستان دارد.
این چالش اینترنتی اخیرا در ایران هم رایج شده است.
@geekgap
کتاب مفید بهینه سازی پروفایل #Linkedin https://t.iss.one/geekgap
نوابغ رمزنگاری نزدیک به ۳۲۰ میلیون گذرواژهی درهمشده را بازیابی کردند!
💚🇮🇷@geekgap🇮🇷💚
به گزارش وبگاه اخبار امنیتی فنآوری اطلاعات و ارتباطات :
نوابغ ناشناسِ گروه CynoSure که دو سال پیش گذرواژهی افشاشدهی ۱۱ میلیون کاربر وبگاه غیراخلاقی Ashley Madison را بازیابی کرده بودند، این بار همهی ۳۲۰ میلیون گذرواژهای که توسط پژوهشگر استرلیایی به نام Troy Hunt منتشر شده بود را بازیابی کردهاند.
💚🇮🇷@geekgap🇮🇷💚
حتماً میدانید که وبگاهها برای امنیت بیشتر گذرواژهها را به صورت مستقیم در پایگاه داده ذخیره نمیکنند و ابتدا آنها را تبدیل به عبارت یک طرفهی درهمشده (هَش) کرده و سپس در پایگاه داده ذخیره میکنند. از آنجایی که عبارتِ گذرواژه به صورت یک طرفه درهم شده است، با داشتن عبارتِ درهمشده نمیتوان به سادگی گذرواژه را بازیابی کرد.
💚🇮🇷@geekgap🇮🇷💚
ماه گذشته، صاحب وبگاه HaveIBeenPwned که شامل میلیونها گذرواژه و آدرس رایانامهی مربوط به نفوذهای مختلف بود را منتشر کرد با امید به اینکه افرادی که از گذرواژههای یکسانی برای حسابهای مختلف استفاده میکنند بالاخره این کار را متوقف نمایند و همچنین وبگاهها نیز دیگر گذرواژههای تکراری را نپذیرند و به کاربران در این مورد هشدار دهند. در این میان، گروه CynoSure Prime، یک دانشجوی دکترا و فعال در حوزهی امنیت و یک پژوهشگر امنیت به نام Royce Williams این چالش را پذیرفتند که گذرواژههای منتشر شده را بازیابی نمایند.
💚🇮🇷@geekgap🇮🇷💚
پایگاه دادهای که توسط Hunt منتشر شده بود مربوط به نفوذهای مختلف از شرکتهای مختلف نرمافزاری بود و به همین انتظار میرفت تعداد زیادی الگوریتم درهمسازی برای گذرواژهها به کار رفته باشد. البته طبق انتظار بیشتر آنها از الگوریتم درهمسازی SHA-۱ بهره میبرند. الگوریتم SHA-۱ به شدت ناامن است و چند سالی میشود که پژوهشگران امنیتی هشدارهایی در مورد اینکه این الگوریتم به سادگی قابل شکستن است را میدهند و چند ماه پیش یک روش کارآمد برای شکستن SHA-۱ توسط گوگل عرضه شده است.
💚🇮🇷@geekgap🇮🇷💚
یکی دیگر از مشکلات مربوط به افشای گذرواژهها از راه عبارتِ درهمشده مربوط به ضعف در الگوریتم درهمسازی است. به طور مثال اگر گذرواژهی به صورت «p۴۵۵w۰rd» تعریف شده باشد عبارت درهمشدهی «b۴۳۴۱ce۸۸a۴۹۴۳۶۳۱b۹۵۷۳d۹e۰e۵b۲۸۹۹۱de۹۴۵d» در پایگاه داده ذخیره میشود و فرض بر این است که این عبارت قابل برگشت به عبارت اصلی نیست.
💚🇮🇷@geekgap🇮🇷💚
الگوریتمهای درهمسازی به کار رفته در مورد ۳۲۰ میلیون گذرواژهی منتشر شده، شناسایی شدند و گزارش شده است ۱۵ الگوریتم مختلف در مورد این گذرواژهها به کار رفته است (با استفاده از ابزار MDXfind میتوان الگوریتم درهمسازی رو شناسایی کرد).
💚🇮🇷@geekgap🇮🇷💚
در حال حاضر با وارد شدن به آدرس «https://haveibeenpwned.com/Passwords» و وارد کردن گذرواژه میتوانید بررسی کنید آیا گذرواژهی شما، یا گذرواژهای که قصد استفاده از آن را دارید قبلاً بازیابی شده است یا خیر و اگر هشداری از این وبگاه دریافت کردید نباید از این گذرواژه استفاده کنید. 💚🇮🇷@geekgap🇮🇷💚
برخی گذرواژههای بازیابی شده شامل اطلاعات شخصی هم میباشند که اشارهای به جزییات آنها نشده است. به گفتهی CynoSure Prime نزدیک به ۹۹٫۹۹۹٪ گذرواژهها بازیابی شده است و درصد کمی از آنها (نزدیک به ۱۱۶ گذرواژهی با الگوریتم درهمسازی SHA-۱) هنوز بازیابی نشده است.💚🇮🇷@geekgap🇮🇷💚
💚🇮🇷@geekgap🇮🇷💚
به گزارش وبگاه اخبار امنیتی فنآوری اطلاعات و ارتباطات :
نوابغ ناشناسِ گروه CynoSure که دو سال پیش گذرواژهی افشاشدهی ۱۱ میلیون کاربر وبگاه غیراخلاقی Ashley Madison را بازیابی کرده بودند، این بار همهی ۳۲۰ میلیون گذرواژهای که توسط پژوهشگر استرلیایی به نام Troy Hunt منتشر شده بود را بازیابی کردهاند.
💚🇮🇷@geekgap🇮🇷💚
حتماً میدانید که وبگاهها برای امنیت بیشتر گذرواژهها را به صورت مستقیم در پایگاه داده ذخیره نمیکنند و ابتدا آنها را تبدیل به عبارت یک طرفهی درهمشده (هَش) کرده و سپس در پایگاه داده ذخیره میکنند. از آنجایی که عبارتِ گذرواژه به صورت یک طرفه درهم شده است، با داشتن عبارتِ درهمشده نمیتوان به سادگی گذرواژه را بازیابی کرد.
💚🇮🇷@geekgap🇮🇷💚
ماه گذشته، صاحب وبگاه HaveIBeenPwned که شامل میلیونها گذرواژه و آدرس رایانامهی مربوط به نفوذهای مختلف بود را منتشر کرد با امید به اینکه افرادی که از گذرواژههای یکسانی برای حسابهای مختلف استفاده میکنند بالاخره این کار را متوقف نمایند و همچنین وبگاهها نیز دیگر گذرواژههای تکراری را نپذیرند و به کاربران در این مورد هشدار دهند. در این میان، گروه CynoSure Prime، یک دانشجوی دکترا و فعال در حوزهی امنیت و یک پژوهشگر امنیت به نام Royce Williams این چالش را پذیرفتند که گذرواژههای منتشر شده را بازیابی نمایند.
💚🇮🇷@geekgap🇮🇷💚
پایگاه دادهای که توسط Hunt منتشر شده بود مربوط به نفوذهای مختلف از شرکتهای مختلف نرمافزاری بود و به همین انتظار میرفت تعداد زیادی الگوریتم درهمسازی برای گذرواژهها به کار رفته باشد. البته طبق انتظار بیشتر آنها از الگوریتم درهمسازی SHA-۱ بهره میبرند. الگوریتم SHA-۱ به شدت ناامن است و چند سالی میشود که پژوهشگران امنیتی هشدارهایی در مورد اینکه این الگوریتم به سادگی قابل شکستن است را میدهند و چند ماه پیش یک روش کارآمد برای شکستن SHA-۱ توسط گوگل عرضه شده است.
💚🇮🇷@geekgap🇮🇷💚
یکی دیگر از مشکلات مربوط به افشای گذرواژهها از راه عبارتِ درهمشده مربوط به ضعف در الگوریتم درهمسازی است. به طور مثال اگر گذرواژهی به صورت «p۴۵۵w۰rd» تعریف شده باشد عبارت درهمشدهی «b۴۳۴۱ce۸۸a۴۹۴۳۶۳۱b۹۵۷۳d۹e۰e۵b۲۸۹۹۱de۹۴۵d» در پایگاه داده ذخیره میشود و فرض بر این است که این عبارت قابل برگشت به عبارت اصلی نیست.
💚🇮🇷@geekgap🇮🇷💚
الگوریتمهای درهمسازی به کار رفته در مورد ۳۲۰ میلیون گذرواژهی منتشر شده، شناسایی شدند و گزارش شده است ۱۵ الگوریتم مختلف در مورد این گذرواژهها به کار رفته است (با استفاده از ابزار MDXfind میتوان الگوریتم درهمسازی رو شناسایی کرد).
💚🇮🇷@geekgap🇮🇷💚
در حال حاضر با وارد شدن به آدرس «https://haveibeenpwned.com/Passwords» و وارد کردن گذرواژه میتوانید بررسی کنید آیا گذرواژهی شما، یا گذرواژهای که قصد استفاده از آن را دارید قبلاً بازیابی شده است یا خیر و اگر هشداری از این وبگاه دریافت کردید نباید از این گذرواژه استفاده کنید. 💚🇮🇷@geekgap🇮🇷💚
برخی گذرواژههای بازیابی شده شامل اطلاعات شخصی هم میباشند که اشارهای به جزییات آنها نشده است. به گفتهی CynoSure Prime نزدیک به ۹۹٫۹۹۹٪ گذرواژهها بازیابی شده است و درصد کمی از آنها (نزدیک به ۱۱۶ گذرواژهی با الگوریتم درهمسازی SHA-۱) هنوز بازیابی نشده است.💚🇮🇷@geekgap🇮🇷💚
Have I Been Pwned
Have I Been Pwned: Pwned Passwords
Pwned Passwords is a huge corpus of previously breached passwords made freely available to help services block them from being used again.
کتاب مفید #Microsoft System Center 2016 https://t.iss.one/geekgap