Dropbox डेटा में सेंध

सत्यापित डेटा प्रकार ईमेल पते और पासवर्ड हैश हैं। केवल ईमेल पते से किसी खाते तक पहुँच नहीं मिलती, लेकिन इसका इस्तेमाल फ़िशिंग संदेशों, किसी खास खाते का पासवर्ड आज़माने और अलग-अलग सेवाओं पर मौजूद खातों का मिलान करने के लिए किया जा सकता है। पासवर्ड हैश, पासवर्ड का पढ़ा जा सकने वाला रूप नहीं होता; फिर भी कमज़ोर पासवर्ड चुनना, पुरानी हैशिंग विधियों का इस्तेमाल करना या दूसरी साइटों पर वही पासवर्ड दोबारा इस्तेमाल करना हमलावरों को लाभ दे सकता है। Dropbox की घटना में पासवर्ड के प्लेन टेक्स्ट में होने की पुष्टि नहीं हुई थी; जोखिम इस वजह से पैदा हुआ कि सॉल्टेड हैश ऑफ़लाइन हमलों के लिए इस्तेमाल की जाने वाली सूचियों में शामिल थे।

सबसे बड़ा खतरा एक ही पासवर्ड को दोबारा इस्तेमाल करने से पैदा होता है। अगर किसी उपयोगकर्ता ने Dropbox का पुराना पासवर्ड अपने ईमेल खाते, सोशल नेटवर्क, काम के किसी टूल, खरीदारी खाते, क्लाउड स्टोरेज सेवा या गेमिंग खाते पर भी इस्तेमाल किया है, तो हमलावर अलग-अलग प्लेटफ़ॉर्म पर उसी ईमेल और पासवर्ड के संयोजन को आज़मा सकते हैं। ईमेल पता सामने आने से नकली सुरक्षा चेतावनियाँ और फ़ाइल साझा करने के नकली संदेश अधिक विश्वसनीय लग सकते हैं। इस घटना में फ़ाइलों की सामग्री सत्यापित डेटा फ़ील्ड का हिस्सा नहीं है, इसलिए यह निष्कर्ष नहीं निकालना चाहिए कि फ़ाइलें लीक हुई हैं। हालाँकि, अगर पासवर्ड किसी दूसरी सेवा पर भी मान्य है, तो असर Dropbox के बाहर के खातों तक पहुँच सकता है।

डेटा सेंध की तारीख जुलाई 2012 के रूप में दर्ज है। अगस्त 2016 वह समय था जब डेटासेट अधिक व्यापक रूप से सामने आया और पासवर्ड रीसेट की प्रक्रिया को प्रमुखता मिली। सत्यापित खातों की संख्या 6,86,48,009 दर्ज है। अलग-अलग समाचार रिपोर्टों में 68 मिलियन या 68.6 मिलियन जैसे राउंड किए गए आँकड़े दिख सकते हैं; उपयोगकर्ताओं की खोज में मिलान के आधार के रूप में इस्तेमाल होने वाली संख्या 6,86,48,009 है। इस घटना को एक कर्मचारी के खाते में दोबारा इस्तेमाल किए गए पासवर्ड के दुरुपयोग और उपयोगकर्ताओं के लॉगिन विवरण वाले डेटा तक पहुँच से जोड़ा गया है।

इस रिकॉर्ड में भुगतान कार्ड, बैंक खाते, आधिकारिक पहचान संख्या, फ़ोन नंबर, पूरे पते, फ़ाइलों की सामग्री या निजी दस्तावेज़ों से जुड़े फ़ील्ड सत्यापित नहीं हुए हैं। सत्यापित फ़ील्ड ईमेल पता और पासवर्ड संबंधी जानकारी का क्रिप्टोग्राफ़िक रूप हैं। कुछ पासवर्ड हैश bcrypt से सुरक्षित हैं, जबकि अन्य SHA-1 से सुरक्षित हैं; इसलिए हर खाते में अनधिकृत पहुँच का जोखिम एक जैसा नहीं है। फिर भी, अगर पुराना पासवर्ड अलग-अलग खातों पर बना हुआ है, तो इस घटना के कई साल बाद भी मौजूदा खातों पर अनधिकृत नियंत्रण और फ़िशिंग का जोखिम रह सकता है।

सबसे अधिक जोखिम उन लोगों को है जिनका 2012 से पहले Dropbox खाता था और जिन्होंने बाद में वही पासवर्ड कहीं और इस्तेमाल किया। हालाँकि पासवर्ड रीसेट की प्रक्रिया से Dropbox खातों का जोखिम कम हुआ है, लेकिन अगर वही पुराना पासवर्ड किसी दूसरी सेवा पर मौजूद है, तो समस्या बनी रहती है। कॉर्पोरेट डोमेन वाले ईमेल पते भी लक्षित संदेशों के प्रति अधिक संवेदनशील हो सकते हैं, क्योंकि हमलावर ईमेल डोमेन से संगठन, संभावित विभाग या क्लाउड फ़ाइलों के इस्तेमाल की आदतों का अनुमान लगाने की कोशिश कर सकता है।

पुराने खातों पर भी विशेष ध्यान देना ज़रूरी है। अब इस्तेमाल न होने वाले ईमेल पते, भूले हुए निजी खाते, टीम फ़ोल्डर से जुड़े उपयोगकर्ता और ऐसे डिवाइस जिनके सत्रों की लंबे समय से जाँच नहीं हुई है, जोखिम के आकलन में शामिल किए जाने चाहिए। अपने ईमेल खाते पर भी वही पासवर्ड इस्तेमाल करने वाले लोगों के लिए जोखिम अधिक है, क्योंकि ईमेल खाते में अनधिकृत पहुँच होने पर दूसरे खातों की पासवर्ड रिकवरी प्रक्रियाएँ भी जोखिम में पड़ सकती हैं। Dropbox में हुई डेटा सेंध को केवल क्लाउड स्टोरेज खाते की समस्या नहीं, बल्कि पासवर्ड के सुरक्षित इस्तेमाल और आपस में जुड़े खातों की सुरक्षा के नज़रिए से देखा जाना चाहिए।

पहला कदम यह सुनिश्चित करना है कि 2012 में Dropbox के लिए इस्तेमाल किया गया पासवर्ड अब किसी भी खाते पर सक्रिय न हो। अगर दूसरी सेवाओं पर वही या उससे मिलता-जुलता पासवर्ड बना हुआ है, तो हर खाते के लिए एक अलग और मज़बूत पासवर्ड रखा जाना चाहिए। Dropbox खाते पर दो-चरणीय सत्यापन सक्षम किया जाना चाहिए और जुड़े डिवाइस, सक्रिय सत्र तथा तृतीय-पक्ष कनेक्शन की समीक्षा की जानी चाहिए। अपरिचित डिवाइस हटाए जाने चाहिए, पुराने शेयरिंग लिंक जाँचे जाने चाहिए और अनावश्यक लिंक निष्क्रिय किए जाने चाहिए।

ईमेल खाते को भी सुरक्षित करना चाहिए, क्योंकि खाते की रिकवरी के संदेश और पासवर्ड रीसेट के लिंक अक्सर ईमेल से आते हैं। Dropbox के नाम से भेजे जाने वाले स्टोरेज सीमा, फ़ाइल साझा करने, पासवर्ड चेतावनी या खाता निलंबित होने से जुड़े नकली संदेशों से सावधान रहना चाहिए। लिंक पर क्लिक करने के बजाय ब्राउज़र से सीधे सेवा पर जाना चाहिए और संदिग्ध संदेशों को खोले बिना मिटा देना चाहिए। अगर वही पुराना पासवर्ड काम या स्कूल के किसी खाते पर इस्तेमाल किया गया था, तो सुरक्षा टीम को सूचित करना चाहिए और संबंधित खातों का लॉगिन इतिहास जाँचना चाहिए।

लंबे समय तक सुरक्षा बनाए रखने के लिए क्लाउड स्टोरेज खातों में अलग-अलग पासवर्ड, दो-चरणीय सत्यापन और सत्रों की नियमित जाँच को बुनियादी उपाय माना जाना चाहिए। पासवर्ड मैनेजर से यह पता लगाना आसान होता है कि क्या Dropbox का पुराना पासवर्ड अब भी दूसरे खातों पर इस्तेमाल हो रहा है। शेयरिंग लिंक की नियमित समीक्षा की जानी चाहिए, अनावश्यक लिंक बंद किए जाने चाहिए और पुराने डिवाइस खाते से हटाए जाने चाहिए। अगर निजी और काम की फ़ाइलें एक ही खाते में रखी जाती हैं, तो अनुमतियों पर अधिक सख्ती से नज़र रखनी चाहिए और टीम फ़ोल्डर में किसी को अनावश्यक पहुँच नहीं दी जानी चाहिए।

कॉर्पोरेट नज़रिए से यह घटना दिखाती है कि कर्मचारियों का एक ही पासवर्ड दोबारा इस्तेमाल करना एक बड़ी सुरक्षा समस्या बन सकता है, जिसका असर ग्राहकों के लॉगिन विवरण तक पहुँच सकता है। कर्मचारियों के खातों के लिए मज़बूत प्रमाणीकरण, अलग-अलग पासवर्ड, पहुँच पर पाबंदियाँ, असामान्य लॉगिन की चेतावनियाँ और संवेदनशील डेटा तक पहुँच पर सख्त नियंत्रण ज़रूरी हैं। पासवर्ड हैश को मज़बूत विधियों से सुरक्षित करने से नुकसान कम होता है, लेकिन केवल इतना पर्याप्त नहीं है। उपयोगकर्ताओं को तुरंत सूचना देना, पासवर्ड बदलना अनिवार्य करना, कमज़ोर पासवर्ड की जाँच करना और पासवर्ड के दोबारा इस्तेमाल को रोकने वाली नीतियाँ लागू करना, ये सभी एक ही सुरक्षा व्यवस्था के हिस्से होने चाहिए।

अगर आपको मिलान का परिणाम दिखाई देता है, तो संभव है कि आपका ईमेल पता Dropbox में हुई डेटा सेंध से जुड़े 6,86,48,009 खातों में मिला हो। इस परिणाम का मतलब यह नहीं है कि आपकी फ़ाइलें, निजी दस्तावेज़ या भुगतान संबंधी जानकारी लीक हुई है। सत्यापित डेटा फ़ील्ड ईमेल पता और सॉल्टेड पासवर्ड हैश हैं। सबसे पहले उस पासवर्ड पर ध्यान दें जिसका इस्तेमाल आप उस समय Dropbox के लिए करते थे, और जाँचें कि क्या वही या उससे मिलता-जुलता पासवर्ड अब भी दूसरे खातों पर सक्रिय है।

अगर आपका Dropbox खाता अब भी इस्तेमाल में है, तो उसके लिए अलग पासवर्ड रखें, दो-चरणीय सत्यापन सक्षम करें और जुड़े डिवाइस तथा शेयरिंग लिंक की समीक्षा करें। अगर आपने Dropbox का पुराना पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल किया है, तो उन सेवाओं के पासवर्ड भी बदलें। अपने ईमेल खाते को विशेष रूप से सुरक्षित करें, क्योंकि दूसरे खातों की रिकवरी प्रक्रिया अधिकतर वहीं से शुरू होती है। इस घटना से निपटने का सही तरीका फ़ाइलें लीक होने की आशंका में घबराना नहीं, बल्कि ईमेल और पासवर्ड के संयोजन से पैदा होने वाले खाते की सुरक्षा के दीर्घकालिक जोखिम को व्यवस्थित रूप से कम करना है।