ChessHere.com: डेटा उजागर होने का कथित मामला

पहली नज़र में शतरंज के मंच कम जोखिम वाली मनोरंजन साइटें लग सकते हैं। लेकिन उपयोगकर्ता नाम और प्लेन टेक्स्ट पासवर्ड का एक साथ सामने आना खाते की सुरक्षा के लिए गंभीर जोखिम पैदा करता है, चाहे मंच किसी भी विषय से जुड़ा हो। यदि किसी उपयोगकर्ता ने ईमेल, गेमिंग, सोशल मीडिया या खरीदारी के खातों में भी वही पासवर्ड इस्तेमाल किया है, तो हमलावर उसे दूसरे सिस्टम पर भी आज़मा सकते हैं। इसलिए ChessHere.com की यह घटना केवल शतरंज के खातों की सुरक्षा तक सीमित नहीं है।

इस रिकॉर्ड में सत्यापित की जा सकने वाली डेटा श्रेणियाँ उपयोगकर्ता नाम और पासवर्ड हैं। पासवर्ड के प्लेन टेक्स्ट में होने का दावा विशेष रूप से महत्वपूर्ण है। प्लेन टेक्स्ट पासवर्ड वह पासवर्ड होता है जिसे हमलावर हैश क्रैकिंग, डिक्शनरी अटैक या तकनीकी विश्लेषण किए बिना सीधे इस्तेमाल कर सकता है। वहीं, उपयोगकर्ता नाम का मिलान उसी व्यक्ति द्वारा अलग-अलग मंचों पर इस्तेमाल की जाने वाली पहचान से किया जा सकता है।

इस रिकॉर्ड में ईमेल पते को सत्यापित डेटा श्रेणी के रूप में शामिल नहीं किया गया है। यह सीमा जानबूझकर रखी गई है; डेटा के दायरे के बारे में उपयोगकर्ता को गलत जानकारी न मिले, इसलिए केवल बार-बार सामने आने वाले और ठोस साक्ष्य से समर्थित फ़ील्ड शामिल किए गए हैं। यदि उपयोगकर्ता ने ChessHere.com वाला उपयोगकर्ता नाम दूसरे गेमिंग फ़ोरम, सोशल नेटवर्क या शतरंज समुदायों में भी इस्तेमाल किया है, तो खातों के बीच संबंध स्थापित करना आसान हो सकता है।

आधुनिक सिस्टम में पासवर्ड ऐसे हैश मानों के रूप में संग्रहीत होने चाहिए जिन्हें उलटकर मूल पासवर्ड प्राप्त न किया जा सके। मज़बूत हैश एल्गोरिदम और हर पासवर्ड के लिए अलग सॉल्ट मान इस्तेमाल किए जाने पर, डेटाबेस लीक होने के बाद भी हमलावर को असली पासवर्ड तक पहुँचने में समय लगता है। पासवर्ड को प्लेन टेक्स्ट में संग्रहीत करने से यह सुरक्षा पूरी तरह समाप्त हो जाती है। डेटा देखने वाला कोई भी व्यक्ति पासवर्ड पढ़ सकता है, उसकी कॉपी बना सकता है और उसे दूसरी सेवाओं पर आज़मा सकता है।

इसी कारण ChessHere.com के रिकॉर्ड में गंभीरता का स्तर उच्च चुना गया है। प्रभावित डेटा श्रेणियों का दायरा भले ही छोटा लगे, लेकिन पासवर्ड का स्वरूप जोखिम बढ़ाता है। विशेष रूप से, संभव है कि उपयोगकर्ताओं ने पुरानी गेमिंग, फ़ोरम और सामुदायिक साइटों पर वर्षों तक एक ही उपयोगकर्ता नाम और पासवर्ड का बार-बार इस्तेमाल किया हो। इस वजह से 2017 का लीक आज भी हमलों में इस्तेमाल किए जाने योग्य बना रहता है।

नया रिकॉर्ड जोड़ने से पहले, मौजूदा रिकॉर्ड में ChessHere, chesshere.com और नाम के संबंधित रूपों के आधार पर जाँच की गई कि कहीं यह रिकॉर्ड पहले से मौजूद तो नहीं है। उसी डोमेन नाम या शीर्षक वाला कोई डेटा उल्लंघन रिकॉर्ड पहले से नहीं मिला, इसलिए इसे अलग रिकॉर्ड माना गया। इस घटना को दर्ज करना उचित समझा गया, क्योंकि सार्वजनिक स्रोतों में यही डोमेन नाम दिसंबर 2017, लगभग 5 लाख रिकॉर्ड, उपयोगकर्ता नाम और प्लेन टेक्स्ट पासवर्ड की डेटा श्रेणियों के साथ सामने आता है।

हालाँकि, मंच के संचालक का ऐसा कोई विस्तृत आधिकारिक बयान नहीं मिला है जो सभी विवरणों की पुष्टि करता हो। इसलिए सत्यापन की स्थिति सीमित रखी गई है। यह निर्णय उपयोगकर्ता के सामने जानकारी की निश्चितता का स्तर सही ढंग से रखने के लिए लिया गया है। रिकॉर्ड में सत्यापित डेटा श्रेणियाँ और सार्वजनिक स्रोतों से मिली संगत जानकारी शामिल की गई है; इसके विपरीत, असत्यापित ईमेल, भुगतान, संदेश या प्रोफ़ाइल संबंधी जानकारी विवरण में नहीं जोड़ी गई है।

यदि ChessHere.com खाते का पासवर्ड कहीं और भी इस्तेमाल किया गया है, तो उपयोगकर्ता को सबसे पहले उन खातों के पासवर्ड बदलने चाहिए। ईमेल खाता सबसे महत्वपूर्ण प्राथमिकता है, क्योंकि यदि हमलावर ईमेल खाते तक पहुँच हासिल कर ले, तो वह दूसरे खातों की पासवर्ड रीसेट प्रक्रियाओं का इस्तेमाल कर सकता है। इसके बाद गेमिंग सेवाओं, सोशल मीडिया, फ़ोरम, खरीदारी की साइटों और भुगतान खातों की जाँच करनी चाहिए।

पासवर्ड के साथ उपयोगकर्ता नाम का उजागर होना अतिरिक्त जोखिम पैदा करता है। हमलावर अलग-अलग मंचों पर उसी उपयोगकर्ता नाम को खोजकर लक्षित व्यक्ति के दूसरे खाते ढूँढ़ सकता है और उन पर वही पासवर्ड या उससे मिलते-जुलते रूप आज़मा सकता है। खातों को इस तरह आपस में जोड़ पाने का जोखिम विशेष रूप से महत्वपूर्ण है, क्योंकि शतरंज, गेमिंग और फ़ोरम समुदायों में लंबे समय तक एक ही उपयोगकर्ता नाम इस्तेमाल करना आम है।

• ChessHere.com खाते में इस्तेमाल किया गया पासवर्ड अन्य सभी सेवाओं पर भी बदलना चाहिए।
• उसी पासवर्ड पैटर्न के अलग-अलग रूपों का इस्तेमाल भी नहीं करना चाहिए।
• ईमेल खाते पर दो-चरणीय सत्यापन सक्षम करना चाहिए।
• पासवर्ड मैनेजर की मदद से हर सेवा के लिए अलग पासवर्ड बनाना चाहिए।
• उसी उपयोगकर्ता नाम से खोले गए पुराने फ़ोरम और गेमिंग खातों की समीक्षा करनी चाहिए।
• सक्रिय सत्रों और जुड़े हुए ऐप्लिकेशन की जाँच करनी चाहिए।
• कुछ समय तक संदिग्ध लॉगिन की चेतावनियों पर ध्यान से नज़र रखनी चाहिए।

गेमिंग और शौक से जुड़े समुदायों में उपयोगकर्ता अक्सर वर्षों तक एक ही उपनाम इस्तेमाल करते हैं। यह उपनाम सोशल मीडिया, फ़ोरम, स्ट्रीमिंग मंचों, गेम क्लाइंट या ईमेल पते के शुरुआती हिस्से से जुड़ा हो सकता है। जब किसी डेटा उल्लंघन के डेटासेट में उपयोगकर्ता नाम और पासवर्ड एक साथ सामने आते हैं, तो हमलावर केवल उस मंच तक ही नहीं, बल्कि उपयोगकर्ता की डिजिटल पहचान से जुड़े दूसरे हिस्सों तक भी पहुँचने की कोशिश करता है।

इसलिए उपयोगकर्ता नाम से जुड़े डेटा के जोखिम को कम नहीं आँकना चाहिए। ईमेल न होने पर भी हमलावर सर्च इंजन, फ़ोरम, गेमिंग प्रोफ़ाइल और सोशल मीडिया के ज़रिए उपयोगकर्ता नाम का मिलान कर सकता है। यदि वही पासवर्ड कहीं और भी इस्तेमाल किया गया है, तो उपयोगकर्ता नाम सीधे लॉगिन आज़माने का आधार बन जाता है। उपयोगकर्ताओं को अपने पुराने उपनामों से खोले गए खातों का भी पासवर्ड सुरक्षा के लिहाज़ से मूल्यांकन करना चाहिए।

ChessHere.com का यह रिकॉर्ड दिखाता है कि पासवर्ड सुरक्षा के मामले में छोटे या मध्यम आकार के सामुदायिक मंचों को भी बड़े मंचों जैसे मानक अपनाने चाहिए। पासवर्ड कभी भी प्लेन टेक्स्ट में संग्रहीत नहीं होने चाहिए। मज़बूत पासवर्ड हैश एल्गोरिदम, अलग-अलग सॉल्ट मान, सुरक्षित सत्र प्रबंधन, एडमिन पैनल की सुरक्षा और नियमित सुरक्षा अपडेट बुनियादी आवश्यकताएँ हैं।

पुराने सॉफ़्टवेयर घटक, फ़ोरम प्लगइन, एडमिन पैनल और बैकअप फ़ाइलें सामुदायिक मंचों पर अक्सर जोखिम का कारण बनते हैं। डेटाबेस बैकअप वेब रूट डायरेक्टरी में नहीं रखने चाहिए, एडमिन खातों के लिए बहु-कारक प्रमाणीकरण इस्तेमाल करना चाहिए, पासवर्ड रीसेट प्रक्रियाओं के लॉग रखने चाहिए और संदिग्ध बड़े पैमाने के डेटा निर्यात की निगरानी करनी चाहिए। डेटा उल्लंघन का संदेह होने पर उपयोगकर्ताओं के पासवर्ड अनिवार्य रूप से रीसेट किए जाने चाहिए।

दिसंबर 2017 का डेटा उल्लंघन आज पुराना लग सकता है, लेकिन पासवर्ड और उपयोगकर्ता नाम से जुड़ी आदतें लंबे समय तक बनी रहती हैं। बहुत से लोग अपने पुराने पासवर्ड में कोई संख्या, विस्मयादिबोधक चिह्न या वर्ष जोड़कर नया पासवर्ड बना लेते हैं। हमलावर स्वचालित टूल से इन पैटर्न को आज़माते हैं। इसलिए पुराना प्लेन टेक्स्ट पासवर्ड आज के खातों पर हमला करने में भी काम आ सकता है।

इसके अलावा, पुराने डेटासेट को नए डेटासेट के साथ जोड़ा जा सकता है। किसी दूसरे लीक में उसी उपयोगकर्ता नाम से जुड़ा ईमेल पता मिल सकता है, कहीं और फ़ोन नंबर और किसी अन्य मंच पर प्रोफ़ाइल लिंक मिल सकता है। इन जानकारियों को जोड़ने पर हमलावर के लिए लक्षित व्यक्ति की अधिक संपूर्ण प्रोफ़ाइल बनाना संभव हो जाता है। उपयोगकर्ताओं को केवल अलग-अलग लीक नहीं, बल्कि अपने समग्र डिजिटल निशानों पर भी विचार करना चाहिए।

ChessHere.com डेटा उल्लंघन का यह रिकॉर्ड ऑनलाइन शतरंज मंच से जुड़ा बताया गया है और इसमें लगभग 5,26,686 उपयोगकर्ता रिकॉर्ड प्रभावित होने की सूचना है। उजागर हुई मुख्य डेटा श्रेणियाँ उपयोगकर्ता नाम और प्लेन टेक्स्ट पासवर्ड बताई गई हैं। यह संयोजन उन उपयोगकर्ताओं के दूसरे खातों में अनधिकृत पहुँच का जोखिम बढ़ाता है जो पासवर्ड दोबारा इस्तेमाल करते हैं। ईमेल या भुगतान संबंधी डेटा को डेटा श्रेणियों में नहीं जोड़ा गया है, क्योंकि इस रिकॉर्ड में उसका सत्यापन नहीं हुआ था।

किसी आधिकारिक प्राथमिक स्रोत से पुष्टि न होने के कारण इस रिकॉर्ड को सत्यापित चिह्नित नहीं किया गया है। फिर भी, उपयोगकर्ताओं को सचेत करने के लिए इसे जोड़ा गया है, क्योंकि डोमेन नाम, तारीख, रिकॉर्ड की संख्या और डेटा श्रेणियाँ सार्वजनिक रूप से उपलब्ध रिकॉर्ड से मेल खाती हैं। ChessHere.com के उपयोगकर्ताओं को सभी सेवाओं पर अपने पुराने पासवर्ड बदलने चाहिए, अपने उपयोगकर्ता नाम से जुड़े खातों की समीक्षा करनी चाहिए और जहाँ संभव हो, दो-कारक प्रमाणीकरण सक्षम करना चाहिए।

पहला कदम ChessHere.com पर इस्तेमाल किए गए पासवर्ड को याद करना और उन सभी खातों की सूची बनाना है जिनमें वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल होता है। दूसरा कदम ईमेल खाते की सुरक्षा सेटिंग की जाँच करना है। तीसरा कदम पासवर्ड मैनेजर अपनाना और हर खाते के लिए अलग पासवर्ड बनाना है। चौथा कदम पुराने फ़ोरम और गेमिंग खातों से लॉग आउट करना है।

उपयोगकर्ता को अब ऐसे खाते बंद कर देने चाहिए जिनका वह इस्तेमाल नहीं करता, या उनका पासवर्ड बदलकर एक यादृच्छिक और अलग पासवर्ड रख देना चाहिए। भुला दिए गए पुराने खाते हमलावर के लिए कमज़ोर कड़ी बन सकते हैं। विशेष रूप से, यदि एक ही उपयोगकर्ता नाम और पासवर्ड का संयोजन इस्तेमाल किया गया है, तो छोड़े जा चुके खाते भी दूसरे खातों तक पहुँचने का रास्ता बन सकते हैं। इसलिए पुराने शौक-संबंधी मंचों को भी सुरक्षा समीक्षा की सूची में शामिल करना चाहिए।

ChessHere.com जैसे शौक-संबंधी मंचों पर इस्तेमाल किए जाने वाले पासवर्ड अक्सर ऐसे खातों के होते हैं जिन्हें उपयोगकर्ता कम जोखिम वाला मानता है। समस्या यह है कि उसी कम जोखिम वाले खाते का पासवर्ड अधिक महत्वपूर्ण सेवाओं पर भी आज़माया जाता है। हमलावर पुराने शतरंज, गेमिंग और फ़ोरम रिकॉर्ड को अलग से नहीं देखते; वे उन्हें मौजूदा ईमेल पतों, सोशल मीडिया उपयोगकर्ता नामों और दूसरे डेटासेट के साथ जोड़ते हैं। इसलिए उपयोगकर्ता भले ही अब पुराने खाते का इस्तेमाल न करता हो, उसे यह जाँचना चाहिए कि उस पासवर्ड का कहीं और दोबारा इस्तेमाल तो नहीं हो रहा है।

इस कड़ी में उपयोगकर्ता नाम भी एक महत्वपूर्ण सुराग है। उसी उपनाम से प्रसारण, गेमिंग, फ़ोरम या सोशल मीडिया की प्रोफ़ाइल बनाई गई हो सकती हैं। इन प्रोफ़ाइल पर सार्वजनिक रूप से उपलब्ध जानकारी की मदद से हमलावर अधिक विश्वसनीय लगने वाले संदेश तैयार कर सकता है। पासवर्ड बदलने के साथ-साथ, उसी उपयोगकर्ता नाम से बनाए गए पुराने खातों पर अनावश्यक प्रोफ़ाइल जानकारी कम करना और इस्तेमाल न होने वाले खाते बंद करना बेहतर सुरक्षा देता है।

इस रिकॉर्ड में ईमेल पते का सत्यापन न होने के कारण कुछ उपयोगकर्ता जोखिम को कम मान सकते हैं। लेकिन उपयोगकर्ता नाम और प्लेन टेक्स्ट पासवर्ड एक साथ मिलने पर हमलावर के पास प्रयास करने के लिए पर्याप्त जानकारी हो सकती है। विशेष रूप से, यदि उपयोगकर्ता नाम ईमेल पते के शुरुआती नाम वाले हिस्से जैसा हो, या दूसरे मंचों पर भी उसी रूप में इस्तेमाल किया जाता हो, तो ईमेल पता ढूँढ़ना मुश्किल नहीं हो सकता। इसलिए जोखिम का आकलन केवल डेटा श्रेणियों की संख्या पर नहीं, बल्कि पासवर्ड के प्लेन टेक्स्ट में होने और उपयोगकर्ता नाम को दूसरी जगह इस्तेमाल कर पाने पर भी आधारित होना चाहिए।