DaniWeb डेटा में सेंध

इस रिकॉर्ड में सत्यापित डेटा श्रेणियाँ ईमेल पते, IP पते और पासवर्ड हैश हैं। DaniWeb की सदस्यता से जुड़ी जानकारी में ईमेल पता सबसे सटीक माना जाता है। कई साल पहले फ़ोरम समुदायों में इस्तेमाल किए गए ईमेल पते अक्सर अब भी सक्रिय खातों से जुड़े रहते हैं। इसलिए केवल इस जानकारी का इस्तेमाल भी लक्षित फ़िशिंग संदेश भेजने, पुरानी सदस्यता की याद दिलाने और सुरक्षा अलर्ट जैसे दिखने वाले फ़र्ज़ी संदेश भेजने के लिए किया जा सकता है। DaniWeb एक तकनीक-केंद्रित समुदाय है, इसलिए इसके सदस्यों के डेवलपर, सिस्टम एडमिनिस्ट्रेटर, छात्र या तकनीकी भूमिकाओं में काम करने वाले लोग होने की संभावना अधिक है। इससे अधिक विश्वसनीय लगने वाले लक्षित संदेश तैयार करने का आधार मिल सकता है।

IP पते का फ़ील्ड इस बारे में तकनीकी संदर्भ दे सकता है कि किसी अवधि में खाते का इस्तेमाल किस नेटवर्क के ज़रिए किया गया था। इस फ़ील्ड से आम तौर पर घर का सटीक पता या पहचान संबंधी जानकारी नहीं मिलती। हालाँकि, दूसरे डेटा के साथ मिलाकर इससे देश, सेवा प्रदाता, स्कूल, कार्यस्थल के नेटवर्क या शहर के स्तर पर अनुमान लगाए जा सकते हैं। पासवर्ड फ़ील्ड के बारे में यह सीमा स्पष्ट रहनी चाहिए: रिकॉर्ड में सॉल्ट किए गए MD5 पासवर्ड हैश का उल्लेख है, लेकिन DaniWeb ने अपनी घोषणा में कहा है कि ये हैश और सॉल्ट मान वैध नहीं हैं, और किसी पासवर्ड या लॉगिन जानकारी की सुरक्षा भंग नहीं हुई है। इसलिए ऐसा कोई बयान नहीं देना चाहिए जिससे लगे कि उपयोगकर्ता का पासवर्ड पढ़े जा सकने वाले रूप में हासिल कर लिया गया था। फिर भी, पुराने पासवर्ड दोबारा इस्तेमाल करने के संबंध में सावधानी बरतने की सलाह दी जानी चाहिए।

DaniWeb रिकॉर्ड में 11,31,636 खातों के रिकॉर्ड की संख्या दी गई है। इसका अर्थ यह नहीं है कि हर रिकॉर्ड एक अलग व्यक्ति का है। इनमें पुराने, डुप्लिकेट या बंद खाते हो सकते हैं, या एक ही व्यक्ति के कई खाते शामिल हो सकते हैं। डेटा सेंध की तारीख 2015 के अंत की ही रखी गई है। घटना की पुष्टि होने और 2016 में सूचना सूचियों में जोड़े जाने का मतलब यह नहीं है कि सेंध की तारीख बदल गई है। यह अंतर महत्वपूर्ण है, क्योंकि पुराने डेटा सेंध रिकॉर्ड को बाद में दोबारा इंडेक्स किए जाने पर उपयोगकर्ता को वे नई घटना के रूप में दिखाई दे सकते हैं। इस पेज पर तारीख का फ़ील्ड उस अवधि के अनुरूप रखा गया है जिसमें डेटा लीक हुआ था।

इस रिकॉर्ड की सबसे संवेदनशील सीमा पासवर्ड की जानकारी की प्रकृति से जुड़ी है। बाहरी डेटा सेंध रिकॉर्ड में पासवर्ड हैश को डेटा की एक श्रेणी के रूप में सूचीबद्ध किया गया है, जबकि DaniWeb की अपनी घोषणा कहती है कि किसी भी वैध पासवर्ड, लॉगिन क्रेडेंशियल या व्यक्तिगत प्रोफ़ाइल डेटा की सुरक्षा भंग नहीं हुई थी। इस विरोधाभास की अनदेखी नहीं की जानी चाहिए। इसलिए इस विवरण में पासवर्ड हैश फ़ील्ड को बनाए रखा गया है, लेकिन इसे खाते के पासवर्ड की सुरक्षा में सीधे सेंध के रूप में नहीं बताया गया है। उपयोगकर्ता को सही संदेश यह देना चाहिए: ईमेल पता उजागर हो चुका है, यह स्वीकार करना चाहिए; रिकॉर्ड में IP और पासवर्ड हैश फ़ील्ड मौजूद होने के कारण सुरक्षा उपाय करने चाहिए; लेकिन किसी वैध पासवर्ड या सीधे पढ़ी जा सकने वाली लॉगिन जानकारी की सुरक्षा भंग होने का दावा किए बिना आगे बढ़ना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जो 2015 से पहले या उस समय DaniWeb के सदस्य थे और जिन्होंने अन्य तकनीकी समुदायों, डेवलपर प्लेटफ़ॉर्म, शैक्षणिक खातों या काम से जुड़े खातों पर उसी ईमेल पते का इस्तेमाल किया था। फ़ोरम का इतिहास पुराना होने पर भी ईमेल पता अब तक इस्तेमाल में हो सकता है। इससे हमलावरों के लिए उस व्यक्ति को "आपका पुराना DaniWeb खाता", "तकनीकी समुदाय में खाते की सुरक्षा" या "फ़ोरम तक पहुँच" जैसे विषयों पर संदेश भेजना आसान हो जाता है। तकनीकी समुदाय के सदस्यों को निशाना बनाते समय संदेशों में कोड रिपॉज़िटरी, सर्वर तक पहुँच, फ़्रीलांस प्रोजेक्ट, शैक्षणिक खाते या करियर के अवसर जैसे अधिक विशिष्ट विषयों का सहारा लिया जा सकता है।

कॉर्पोरेट ईमेल पते से पंजीकरण करने वाले उपयोगकर्ताओं के लिए जोखिम अधिक है। यदि किसी कर्मचारी के कार्यस्थल का ईमेल पता फ़ोरम की पुरानी सदस्यता में दिखाई देता है, तो इससे लक्षित परीक्षण और सोशल इंजीनियरिंग की प्रक्रियाएँ आसान हो सकती हैं, चाहे पासवर्ड वही हो या नहीं। छात्र, डेवलपर और सिस्टम एडमिनिस्ट्रेटर भी इसी तरह जोखिम में हैं, क्योंकि तकनीकी समुदायों में इस्तेमाल किए गए ईमेल पते अक्सर अन्य सेवाओं पर भी दिखाई देते हैं। IP पते का फ़ील्ड पहले इस्तेमाल किए गए नेटवर्क के संदर्भ के बारे में भी संकेत दे सकता है। केवल यह डेटा किसी स्थान का निर्णायक प्रमाण नहीं है, लेकिन अन्य लीक हुए डेटा के साथ मिलकर यह प्रोफ़ाइलिंग का जोखिम बढ़ा सकता है।

यदि कोई पासवर्ड, जो शायद DaniWeb खाते पर इस्तेमाल किया गया था, किसी अन्य खाते पर भी इस्तेमाल किया गया है, तो पहला कदम इस तरह के दोहराव को पूरी तरह समाप्त करना है। भले ही सेवा पासवर्ड हैश की वैधता पर आपत्ति जताती हो, 2015 की पुरानी पासवर्ड आदतें अब भी दूसरे खातों पर जारी हो सकती हैं। विशेष रूप से ईमेल खातों, कोड रिपॉज़िटरी, क्लाउड सेवाओं, काम से जुड़े खातों, फ़ोरम और सोशल मीडिया खातों के लिए अलग-अलग पासवर्ड इस्तेमाल किए जाने चाहिए। पुराने पासवर्ड में छोटे-मोटे बदलाव करना पर्याप्त नहीं है। हर खाते के लिए अलग, रैंडम और मज़बूत पासवर्ड चुनना चाहिए।

दूसरा कदम महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण सक्षम करना है। इससे पुराने पासवर्ड का अनुमान लगा लिए जाने पर भी खाते तक पहुँच पाना मुश्किल हो जाता है। उपयोगकर्ताओं को DaniWeb या पुराने तकनीकी फ़ोरम के नाम से आने वाले पासवर्ड रीसेट, सुरक्षा सूचना और खाता सत्यापन के लिंक को लेकर भी सावधान रहना चाहिए। जिन उपयोगकर्ताओं के ईमेल पते लीक हुए हैं, उन्हें उसी पते पर भेजे गए अप्रत्याशित लॉगिन अलर्ट और फ़ाइल साझा करने के निमंत्रणों की भी जाँच करनी चाहिए। IP पते के फ़ील्ड के आधार पर नेटवर्क के पुराने इस्तेमाल का हवाला देकर डराने की कोशिश करने वाले संदेशों पर भी भरोसा नहीं करना चाहिए। वास्तविक सुरक्षा जाँच सीधे संबंधित सेवाओं के आधिकारिक लॉगिन पेज से की जानी चाहिए।

DaniWeb की घटना दिखाती है कि फ़ोरम की पुरानी सदस्यताएँ लंबे समय तक खाते की सुरक्षा पर असर डालती रहती हैं। उपयोगकर्ताओं को समुदायों, फ़ोरम, शिक्षा, ओपन सोर्स और करियर से जुड़े अपने पुराने खातों की नियमित समीक्षा करनी चाहिए। जिन खातों का इस्तेमाल नहीं हो रहा है, उन्हें बंद करना चाहिए; ज़रूरी खातों में ईमेल पते अपडेट करने चाहिए; और हर खाते के लिए अलग पासवर्ड रखना चाहिए। पासवर्ड मैनेजर के इस्तेमाल से यह देखना आसान हो जाता है कि एक ही पासवर्ड कहाँ-कहाँ दोबारा इस्तेमाल किया गया है, और नए मज़बूत पासवर्ड बनाना भी आसान होता है। अत्यंत महत्वपूर्ण खातों के रिकवरी विकल्पों और जुड़े हुए सेशन की भी नियमित अंतराल पर जाँच करनी चाहिए।

प्लेटफ़ॉर्म संचालकों के लिए सीख यह है कि फ़ोरम सॉफ़्टवेयर और पासवर्ड संग्रहण के तरीकों को समय पर अपडेट करना ज़रूरी है। मौजूदा खतरों के बीच MD5-आधारित हैश विधियों को सुरक्षित नहीं माना जाता। पासवर्ड संग्रहण के आधुनिक तरीके अपनाने चाहिए, जिनमें धीमी और अधिक कंप्यूटिंग लागत वाली प्रक्रियाएँ तथा मज़बूत सॉल्टिंग रणनीतियाँ इस्तेमाल हों। डेटा सेंध के बाद तकनीकी विवरण स्पष्ट करना भी महत्वपूर्ण है। यदि हासिल किए गए डेटा फ़ील्ड को लेकर मतभेद हो, तो उपयोगकर्ता को सत्यापित फ़ील्ड और उन फ़ील्ड, दोनों के बारे में स्पष्ट जानकारी देनी चाहिए जिन्हें अमान्य बताया गया है। यह तरीका उपयोगकर्ता को अनावश्यक घबराहट से बचाता है और साथ ही ज़रूरी सावधानियाँ बरतना सुनिश्चित करता है।

यदि इस पेज पर की गई जाँच का परिणाम DaniWeb रिकॉर्ड से मेल खाता है, तो उपयोगकर्ता को सबसे पहले यह देखना चाहिए कि उन्होंने 2015 में DaniWeb पर किस ईमेल पते का इस्तेमाल किया था और उसी अवधि में किन पासवर्ड का दोबारा इस्तेमाल किया हो सकता है। यदि वही या उससे मिलता-जुलता पासवर्ड दूसरे खातों पर अब भी इस्तेमाल हो रहा है, तो उन सभी खातों के पासवर्ड अपडेट करने चाहिए। ईमेल खाते में फ़ॉरवर्डिंग नियमों, रिकवरी विकल्पों और हाल की लॉगिन गतिविधियों की जाँच करनी चाहिए। कोड रिपॉज़िटरी, क्लाउड स्टोरेज, तकनीकी फ़ोरम और काम से जुड़े खातों में अनजान सेशन बंद करने चाहिए, ऐप कनेक्शन की समीक्षा करनी चाहिए और बहु-कारक प्रमाणीकरण सक्षम करना चाहिए।

हालाँकि DaniWeb की डेटा सेंध पुरानी है, लेकिन ईमेल पते और तकनीकी संदर्भ वाले रिकॉर्ड लंबे समय तक उपयोगी बने रह सकते हैं। इसलिए इस परिणाम को केवल अतीत की सूचना के रूप में नहीं देखना चाहिए। उपयोगकर्ता पुराने पासवर्ड का दोहराया इस्तेमाल समाप्त करके, महत्वपूर्ण खातों पर अतिरिक्त सत्यापन सक्षम करके और तकनीकी समुदायों के खातों की नियमित जाँच करके इस रिकॉर्ड से पैदा होने वाला जोखिम कम कर सकता है। विशेष रूप से जो लोग एक ही ईमेल पते से कई डेवलपर या फ़ोरम खाते इस्तेमाल करते हैं, उन्हें इस रिकॉर्ड को अपने खातों की सूची की समीक्षा और उसे अपडेट करने की चेतावनी मानना चाहिए।