dBforums डेटा में सेंध

dBforums रिकॉर्ड में मौजूद डेटा अलग-अलग पहचानकर्ताओं से बना है, जो किसी खाते की पहचान करने में एक-दूसरे के पूरक हैं। ईमेल पता और उपयोगकर्ता नाम से फ़ोरम पर व्यक्ति की पहचान सामने आती है। IP पते से उस क्षेत्र या नेटवर्क सेवा प्रदाता के बारे में तकनीकी संकेत मिल सकता है, जहाँ से पहले कनेक्शन किया गया था। जन्मतिथि एक निजी जानकारी है, जिसका इस्तेमाल कुछ सेवाओं में प्रमाणीकरण या खाते की रिकवरी की प्रक्रियाओं के लिए किया जाता है। पासवर्ड फ़ील्ड को सीधे पढ़े जा सकने वाले पासवर्ड के बजाय सॉल्ट वाले MD5 हैश मान के रूप में समझना चाहिए। सॉल्ट के इस्तेमाल से एक ही पासवर्ड का एक जैसा हैश बनने से बचा जा सकता है; हालांकि, मौजूदा सुरक्षा अपेक्षाओं के अनुसार MD5 एक कमज़ोर एल्गोरिदम है, जिसमें संभावित पासवर्ड की जाँच तेज़ी से की जा सकती है।

इन जानकारियों के मेल से हमलावर न केवल पुराने फ़ोरम खाते को, बल्कि उसी व्यक्ति से जुड़े अन्य खातों को भी निशाना बना सकता है। यदि अलग-अलग प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम इस्तेमाल किया गया है, तो हमलावर तकनीकी समुदायों में उस व्यक्ति की पिछली गतिविधियों की पड़ताल कर सकता है। ईमेल पते के साथ जन्मतिथि और IP से जुड़ी जानकारी खाते की रिकवरी के फ़र्ज़ी संदेशों को अधिक विश्वसनीय बना सकती है। यदि पासवर्ड हैश को क्रैक कर लिया जाए या पासवर्ड का अनुमान लगा लिया जाए, तो वही पासवर्ड अन्य सेवाओं पर आज़माया जा सकता है। इसलिए पुराना फ़ोरम खाता बंद होने के बाद भी जोखिम बना रहता है।

इस रिकॉर्ड में दी गई संख्या 3,63,468 सत्यापित अलग-अलग ईमेल पतों की संख्या है। इसे अलग-अलग व्यक्तियों की संख्या नहीं समझना चाहिए; एक ही व्यक्ति के पुराने, दोहराए गए या अलग-अलग फ़ोरम पंजीकरण हो सकते हैं। यह घटना जुलाई 2016 की है और उस समय उसी मूल कंपनी से जुड़े अन्य फ़ोरम के डेटा उल्लंघनों के साथ सामने आई थी। यह रिकॉर्ड केवल dBforums डोमेन के लिए है; उसी अवधि में जिन अन्य फ़ोरम का उल्लेख हुआ था, उनके डोमेन या आँकड़े इस रिकॉर्ड में नहीं जोड़े जाने चाहिए। इससे उपयोगकर्ता के लिए यह स्पष्ट रहता है कि चेतावनी किस फ़ोरम खाते के लिए जारी की गई थी।

डेटा फ़ील्ड का दायरा भी सीमित है: जन्मतिथियाँ, ईमेल पते, IP पते, उपयोगकर्ता नाम और सॉल्ट वाले MD5 पासवर्ड हैश सत्यापित फ़ील्ड हैं। इस रिकॉर्ड की सूची में पहचान, संपर्क, वित्त या स्वास्थ्य से जुड़ी कोई अतिरिक्त असत्यापित जानकारी शामिल नहीं की जानी चाहिए। पासवर्ड फ़ील्ड मौजूद होने के बावजूद यह दावा नहीं करना चाहिए कि पासवर्ड सीधे पढ़े जा सकने वाले रूप में संग्रहीत हैं। सही आकलन यह है कि पासवर्ड हैश के रूप में हासिल किए गए हैं, लेकिन MD5 के कारण एक ही पासवर्ड दोबारा इस्तेमाल करने से जुड़ा गंभीर जोखिम बना हुआ है।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने dBforums पर खाता बनाया था और अन्य तकनीकी समुदायों में भी वही उपयोगकर्ता नाम या पासवर्ड इस्तेमाल किया था। इस समूह में डेटाबेस प्रशासक, डेवलपर, सिस्टम प्रशासक, फ़ोरम मॉडरेटर और तकनीकी सहायता कर्मी शामिल हो सकते हैं। तकनीकी फ़ोरम के सदस्य आम तौर पर अलग-अलग फ़ोरम, कोड साझा करने वाले प्लेटफ़ॉर्म और कार्यस्थलों पर मिलते-जुलते उपनाम इस्तेमाल करते हैं। इससे पुराने फ़ोरम डेटा को नए खातों से जोड़ना आसान हो जाता है। यदि वही पासवर्ड काम से जुड़े खाते या ईमेल खाते के लिए भी इस्तेमाल किया गया है, तो जोखिम और गंभीर हो जाता है।

जन्मतिथि और IP पते वाले रिकॉर्ड पर लक्षित फ़िशिंग के लिहाज़ से भी ध्यान देना ज़रूरी है। हमलावर उपयोगकर्ता के फ़ोरम इतिहास और तकनीकी रुचियों का इस्तेमाल करके ऐसे संदेश तैयार कर सकता है जो किसी डेटाबेस टूल, फ़ोरम सूचना, सुरक्षा अपडेट या नौकरी के अवसर से संबंधित लगें। कंपनी के ईमेल पते से पंजीकरण करने वाले उपयोगकर्ताओं के मामले में यह जोखिम व्यक्तिगत स्तर से आगे बढ़ सकता है; हमलावर पुराने फ़ोरम खाते के आधार पर कंपनी के डोमेन और उपयोगकर्ता की तकनीकी भूमिका को निशाना बना सकता है। इसलिए संगठनों को कर्मचारियों के पुराने तकनीकी फ़ोरम खातों से संबंधित चेतावनियों को भी पासवर्ड दोबारा इस्तेमाल करने के जोखिम के रूप में देखना चाहिए।

जिन उपयोगकर्ताओं की जानकारी dBforums रिकॉर्ड से मेल खाती है, उन्हें सबसे पहले इस फ़ोरम पर इस्तेमाल किया गया पासवर्ड बदलना चाहिए। उन सभी खातों के पासवर्ड भी बदलने चाहिए जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया हो सकता है। जाँच में ईमेल खातों, काम से जुड़े खातों, कोड रिपॉज़िटरी, क्लाउड सेवाओं, तकनीकी फ़ोरम और रिमोट एक्सेस सिस्टम को प्राथमिकता देनी चाहिए। नए पासवर्ड मज़बूत होने चाहिए और हर खाते के लिए अलग होने चाहिए; बेहतर है कि उन्हें पासवर्ड मैनेजर से बनाया जाए। जिन खातों में मल्टी-फ़ैक्टर प्रमाणीकरण की सुविधा है, उनमें यह सुरक्षा चालू करनी चाहिए। पुराना dBforums खाता अब खुल न पाता हो, तब भी एक ही पासवर्ड का दोबारा इस्तेमाल बंद करना ज़रूरी है।

दूसरा कदम खाते की रिकवरी और प्रमाणीकरण संबंधी जानकारी की समीक्षा करना है। लीक हुए फ़ील्ड में जन्मतिथि भी शामिल है, इसलिए यदि अन्य सेवाओं पर जन्मतिथि पर आधारित सुरक्षा प्रश्न या सहायता के दौरान पहचान सत्यापित करने की प्रक्रियाएँ हैं, तो सावधानी बरतनी चाहिए। उपयोगकर्ताओं को अप्रत्याशित फ़ोरम सूचनाओं, पासवर्ड रीसेट अनुरोधों, सुरक्षा अपडेट या तकनीकी टूल डाउनलोड करने वाले लिंक से सावधान रहना चाहिए। कंपनी के उपयोगकर्ताओं को सुरक्षा टीम को बताना चाहिए कि काम से जुड़े सिस्टम पर वही पासवर्ड इस्तेमाल किए जाने की संभावना है, और संदिग्ध सत्र गतिविधियों की जाँच करनी चाहिए।

यह घटना दिखाती है कि सुरक्षा संबंधी सूची में पुराने तकनीकी फ़ोरम खातों को नहीं भूलना चाहिए। उपयोगकर्ताओं को अपने पुराने फ़ोरम, शिक्षा, ओपन सोर्स, डेवलपर और समुदाय संबंधी खातों की नियमित समीक्षा करनी चाहिए। हर प्लेटफ़ॉर्म के लिए अलग पासवर्ड इस्तेमाल करना चाहिए, जहाँ संभव हो वहाँ अतिरिक्त सत्यापन चालू करना चाहिए, और जिन खातों का अब इस्तेमाल नहीं होता उन्हें बंद कर देना चाहिए। कई जगह एक ही उपयोगकर्ता नाम इस्तेमाल करने से किसी व्यक्ति की प्रोफ़ाइल तैयार करना आसान हो जाता है, इसलिए अधिक जोखिम वाले पेशेवर खातों के लिए अलग उपयोगकर्ता नाम रखने पर भी विचार किया जा सकता है।

फ़ोरम संचालकों के लिए इससे सीख यह है कि पुराने फ़ोरम सॉफ़्टवेयर और पासवर्ड संग्रहीत करने के तरीकों को अद्यतन रखा जाए। vBulletin जैसे लोकप्रिय फ़ोरम ढाँचों के लिए नियमित अपडेट, पहुँच पर प्रतिबंध, पासवर्ड का सुरक्षित भंडारण और सुरक्षा निगरानी ज़रूरी हैं। आज के खतरों को देखते हुए MD5 आधारित पासवर्ड हैश को पर्याप्त नहीं मानना चाहिए। डेटा उल्लंघन के बाद केवल उपयोगकर्ताओं के पासवर्ड रीसेट करना काफ़ी नहीं है; यह भी स्पष्ट रूप से बताना चाहिए कि कौन-से डेटा फ़ील्ड प्रभावित हुए, पासवर्ड किस रूप में संग्रहीत थे और उपयोगकर्ताओं को किन खातों की जाँच करनी चाहिए।

यदि इस पेज पर जाँच का नतीजा dBforums रिकॉर्ड से मेल खाता है, तो उपयोगकर्ता को पहले यह देखना चाहिए कि उन्होंने फ़ोरम पर कौन-सा उपयोगकर्ता नाम और पासवर्ड इस्तेमाल किया था। यदि अन्य खातों पर अब भी वही पासवर्ड है, तो उन सभी खातों में उसे बदलना चाहिए। खास तौर पर ईमेल खाते, काम से जुड़े खाते, तकनीकी फ़ोरम और कोड रिपॉज़िटरी की जाँच करनी चाहिए। जन्मतिथि और IP पते के फ़ील्ड भी लीक के दायरे में हैं, इसलिए खाते की रिकवरी के संदेशों और सहायता अनुरोधों को अधिक सावधानी से परखना चाहिए। संदिग्ध लिंक सीधे नहीं खोलने चाहिए, और खातों की जाँच परिचित लॉगिन पेजों से करनी चाहिए।

dBforums का डेटा उल्लंघन पुराना है, लेकिन पुराने तकनीकी फ़ोरम डेटा का कई साल बाद भी फिर से इस्तेमाल किया जा सकता है। समय के साथ सॉल्ट वाले MD5 पासवर्ड हैश के विरुद्ध संभावित पासवर्ड और तेज़ी से आज़माए जा सकते हैं, उपयोगकर्ता नामों का अन्य प्लेटफ़ॉर्म से मिलान किया जा सकता है, और जन्मतिथि जैसे फ़ील्ड का सोशल इंजीनियरिंग में इस्तेमाल हो सकता है। उपयोगकर्ता को इस रिकॉर्ड को किसी पुराने फ़ोरम की याद भर नहीं, बल्कि एक ही पासवर्ड का दोबारा इस्तेमाल बंद करने और तकनीकी खातों की सुरक्षा सूची को अधिक व्यवस्थित बनाने की ठोस चेतावनी मानना चाहिए।