China Software Developer Network में 2011 का डेटा लीक

उपलब्ध साक्ष्यों के अनुसार, इस रिकॉर्ड में ईमेल पते, उपयोगकर्ता नाम और पासवर्ड शामिल हैं। सबसे गंभीर बात पासवर्ड का सादे पाठ में होना है। उपयोगकर्ता नाम से तकनीकी समुदाय में व्यक्ति की पहचान का पता चलता है, जबकि ईमेल पते से हमलावर उस व्यक्ति तक पहुँच सकता है। इन तीनों जानकारियों का एक साथ इस्तेमाल पासवर्ड का अनुमान लगाकर किए जाने वाले हमलों, लक्षित फ़िशिंग और डेवलपर खातों को आपस में जोड़ने के लिए किया जा सकता है। यदि CSDN उपयोगकर्ताओं ने दूसरे प्लेटफ़ॉर्म पर भी उसी उपयोगकर्ता नाम से अपने तकनीकी खाते बनाए हैं, तो जोखिम बढ़ जाता है। फ़ोन नंबर, पते, भुगतान संबंधी जानकारी या कोड रिपॉज़िटरी की सामग्री इस रिकॉर्ड में सूचीबद्ध नहीं हैं, इसलिए उन्हें शामिल नहीं किया गया है।

CSDN की घटना को लंबे समय से ज्ञात और सत्यापित डेटा लीक माना जाता है। रिकॉर्ड की संख्या 64 लाख से अधिक है और डेटा की मुख्य श्रेणियों की जानकारी सार्वजनिक है। फिर भी यह नहीं मानना चाहिए कि हर उपयोगकर्ता का मौजूदा कामकाजी खाता, निजी कोड रिपॉज़िटरी या वित्तीय खाता प्रभावित हुआ था। उजागर हुई जानकारी में ईमेल पता, उपयोगकर्ता नाम और सादे पाठ में पासवर्ड शामिल हैं। जोखिम की गंभीरता इस बात से जुड़ी है कि पासवर्ड सीधे पढ़ा जा सकता है और संभव है कि डेवलपर उपयोगकर्ताओं ने अन्य तकनीकी सेवाओं पर भी पासवर्ड दोबारा इस्तेमाल करने की अपनी आदत जारी रखी हो।

सबसे अधिक जोखिम उन डेवलपरों को है जिनका 2011 में CSDN खाता था और जिन्होंने तकनीकी फ़ोरम, कोड रिपॉज़िटरी, क्लाउड पैनल, डोमेन प्रबंधन या कामकाजी ईमेल खातों में भी उसी ईमेल पते और पासवर्ड का इस्तेमाल किया था। तकनीकी समुदायों के पुराने खाते अक्सर भुला दिए जाते हैं, लेकिन उनके पासवर्ड दूसरे सिस्टम पर वर्षों तक इस्तेमाल होते रह सकते हैं। किसी डेवलपर की पहचान से जुड़े ईमेल पतों का इस्तेमाल लक्षित नौकरी के प्रस्तावों, फ़र्ज़ी सुरक्षा चेतावनियों, रिपॉज़िटरी तक पहुँच के अनुरोधों या क्लाउड बिलिंग संदेशों के लिए किया जा सकता है। तकनीकी उपयोगकर्ताओं को अधिक जटिल लक्षित हमलों का निशाना बनाया जा सकता है।

जिन उपयोगकर्ताओं की जानकारी CSDN के इस रिकॉर्ड से मेल खाती है, उन्हें सुनिश्चित करना चाहिए कि 2011 के दौरान इस्तेमाल किया गया उनका पासवर्ड अब कहीं भी इस्तेमाल न हो। यदि उसी या उससे मिलते-जुलते पासवर्ड का इस्तेमाल किसी कोड रिपॉज़िटरी, क्लाउड पैनल, ईमेल, डोमेन, फ़ोरम या कामकाजी खाते में किया गया है, तो उसे तुरंत बदल देना चाहिए। डेवलपर खातों के लिए दो-कारक प्रमाणीकरण, सुरक्षा कुंजियों या ऐप-आधारित प्रमाणीकरण को प्राथमिकता देनी चाहिए। पुराने पासवर्ड का इस्तेमाल SSH कुंजियों, आर्काइव फ़ाइलों या स्थानीय टूल के पासवर्ड के तौर पर भी किया गया हो सकता है; इस संभावना की भी जाँच करनी चाहिए।

एक ही पासवर्ड दोबारा इस्तेमाल करने का असर डेवलपर खातों पर अन्य उपयोगकर्ता खातों की तुलना में अधिक व्यापक हो सकता है। कोड रिपॉज़िटरी, क्लाउड इंफ़्रास्ट्रक्चर और डोमेन प्रबंधन के लिए अलग-अलग पासवर्ड और मज़बूत बहु-कारक प्रमाणीकरण का इस्तेमाल करना चाहिए। पुराने फ़ोरम पासवर्ड को अब सुरक्षित नहीं मानना चाहिए। उपयोगकर्ताओं को अपने निजी और कामकाजी ईमेल पते अलग रखने चाहिए और महत्वपूर्ण सिस्टम पर तकनीकी समुदाय के खातों वाला बिल्कुल वही उपयोगकर्ता नाम नहीं रखना चाहिए। सुरक्षा सूचनाओं पर नियमित रूप से नज़र रखनी चाहिए और समय-समय पर रिपॉज़िटरी तक अनधिकृत पहुँच तथा एप्लिकेशन अनुमतियाँ हटानी चाहिए।

यदि LeakData की जाँच में जानकारी China Software Developer Network के रिकॉर्ड से मेल खाती है, तो उपयोगकर्ता को इसे सादे पाठ में उजागर हुए एक पुराने, लेकिन गंभीर असर वाले पासवर्ड की चेतावनी मानना चाहिए। जानकारी का मेल खाने का मतलब यह नहीं है कि कोड या भुगतान संबंधी डेटा लीक हुआ है; फिर भी, पुराने पासवर्ड के पढ़े जा सकने के कारण महत्वपूर्ण खातों की जाँच करनी चाहिए। उपयोगकर्ता को पहले उन सभी सिस्टम पर पासवर्ड बदलना चाहिए जहाँ वही पासवर्ड इस्तेमाल किया गया था, और फिर डेवलपर खातों पर दो-कारक प्रमाणीकरण मज़बूत करना चाहिए। पुराने पासवर्ड के पैटर्न पर बनाए गए नए पासवर्ड को भी सुरक्षित नहीं मानना चाहिए।