Ethereum डेटा में सेंध

सत्यापित डेटा प्रकारों में ईमेल पते, IP पते, पासवर्ड, निजी संदेश, उपयोगकर्ता नाम और वेबसाइट पर गतिविधि से जुड़े फ़ील्ड शामिल हैं। बताया गया है कि अधिकांश पासवर्ड bcrypt से सुरक्षित हैं, जबकि कुछ WordPress-आधारित सॉल्ट युक्त हैश संरचनाओं से सुरक्षित हैं। इसका अर्थ यह नहीं है कि पासवर्ड को सीधे पढ़ा जा सकता है, लेकिन कमज़ोर पासवर्ड या अन्य सेवाओं पर भी इस्तेमाल किए गए पासवर्ड के मामले में जोखिम बना रहता है। जब ईमेल पता और उपयोगकर्ता नाम एक साथ मिलते हैं, तो हमलावर फ़ोरम की पहचान को अलग-अलग प्लेटफ़ॉर्म के खातों से जोड़ने की कोशिश कर सकते हैं। वहीं, IP पते कनेक्शन के अनुमानित स्थान, सेवा प्रदाता या सत्र के संदर्भ के बारे में संकेत दे सकते हैं।

निजी फ़ोरम संदेश इस रिकॉर्ड के उन हिस्सों में से हैं जिन्हें सबसे अधिक सावधानी से संभालना चाहिए। फ़ोरम संदेशों में तकनीकी चर्चाएँ, परियोजनाओं से जुड़े संबंध, समुदाय के भीतर संवाद, व्यक्तिगत नोट या अन्य उपयोगकर्ताओं के साथ विश्वास के आधार पर हुई बातचीत शामिल हो सकती है। वेबसाइट पर गतिविधि से भी फ़ोरम पर उपयोगकर्ता के व्यवहार, संपर्कों और खाते के इस्तेमाल के तरीकों को समझने में मदद मिल सकती है। हालाँकि यह डेटा अपने आप में वित्तीय परिसंपत्तियों तक पहुँच नहीं देता, लेकिन यह सोशल इंजीनियरिंग, लक्षित फ़िशिंग, फ़र्ज़ी सहायता संदेशों और दोबारा इस्तेमाल किए गए पासवर्ड के ज़रिए हमलों के लिए ठोस संदर्भ उपलब्ध कराता है।

इस रिकॉर्ड में प्रभावित खातों की सत्यापित संख्या 16,431 है और घटना की तारीख 16 दिसंबर 2016 दर्ज है। आधिकारिक बयान में बताया गया था कि जिस डेटा तक पहुँच बनाई गई, वह अप्रैल 2016 के फ़ोरम डेटाबेस का एक बैकअप है, उसमें लगभग 16.5 हज़ार फ़ोरम उपयोगकर्ताओं के रिकॉर्ड हैं और अनधिकृत पहुँच सोशल इंजीनियरिंग की एक श्रृंखला के परिणामस्वरूप हुई थी। इसलिए इस रिकॉर्ड को Ethereum इकोसिस्टम के सभी उपयोगकर्ताओं या सभी वॉलेट धारकों पर लागू मानना सही नहीं है। इसका दायरा फ़ोरम पर खाता रखने वाले व्यक्तियों और उस फ़ोरम के संदेश व प्रोफ़ाइल डेटा तक सीमित है।

इस घटना में किसी भी सत्यापित फ़ील्ड को इस तरह चिह्नित नहीं किया जाना चाहिए कि उससे ऑन-चेन लेनदेन इतिहास, वॉलेट बैलेंस, निजी कुंजी, सीड फ़्रेज़ या स्मार्ट कॉन्ट्रैक्ट की परिसंपत्ति के लीक होने का संकेत मिले। पासवर्ड फ़ील्ड मौजूद होने के कारण खाते की सुरक्षा को जोखिम है। हालाँकि, अधिकांश पासवर्ड हैश में आधुनिक और सॉल्ट युक्त सुरक्षा का इस्तेमाल होने के कारण जोखिम का आकलन मुख्य रूप से कमज़ोर पासवर्ड चुनने और एक ही पासवर्ड दोबारा इस्तेमाल करने के आधार पर किया जाना चाहिए। फ़ोरम के मूल बैकअप में मौजूद तकनीकी फ़ील्ड को सत्यापित डेटा श्रेणियों से अलग करके नए डेटा प्रकार के रूप में प्रस्तुत नहीं किया जाना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने 2016 से पहले forum.ethereum.org पर खाता खोला था और वही पासवर्ड अन्य सेवाओं पर भी इस्तेमाल किया था। यदि फ़ोरम का पुराना पासवर्ड अब भी ईमेल, एक्सचेंज, सोशल मीडिया, डेवलपर खाते या सामुदायिक प्लेटफ़ॉर्म पर इस्तेमाल हो रहा है, तो इन लोगों के लिए जोखिम आज भी बना हुआ है। पासवर्ड हैश भले ही साधारण पाठ में न हों, समय के साथ कमज़ोर पासवर्ड का अनुमान लगाया जा सकता है, उन्हें अन्य लीक में मिले डेटा से मिलाया जा सकता है या स्वचालित लॉगिन प्रयासों में इस्तेमाल किया जा सकता है। इसलिए ईमेल खाते को सुरक्षित करना प्राथमिकता है।

फ़ोरम पर निजी संदेशों का आदान-प्रदान करने वाले डेवलपर, Ethereum समुदाय के शुरुआती सदस्य, ओपन-सोर्स योगदानकर्ता और क्रिप्टोकरेंसी इकोसिस्टम में पहचाने जाने वाले उपयोगकर्ता नाम इस्तेमाल करने वाले लोग भी अतिरिक्त जोखिम में हो सकते हैं। यदि निजी संदेशों में परियोजनाओं के लिंक, संपर्क जानकारी, तकनीकी चर्चाएँ या सामाजिक संदर्भ मौजूद हों, तो हमलावर अधिक विश्वसनीय लगने वाले संदेश तैयार कर सकते हैं। IP पते और वेबसाइट पर गतिविधि से उपयोगकर्ता के समय क्षेत्र या सेवा तक पहुँचने की आदतों के बारे में सीमित जानकारी मिल सकती है। इसलिए इस सेंध के बाद केवल पासवर्ड बदलना पर्याप्त नहीं है; यह जाँचना भी ज़रूरी है कि खाते की पहचान का अन्य किन जगहों पर इस्तेमाल हुआ है।

तुरंत जाँचें कि फ़ोरम खाते का पासवर्ड कहीं और भी इस्तेमाल किया गया है या नहीं। यदि वही या मिलता-जुलता पासवर्ड ईमेल, डेवलपर प्लेटफ़ॉर्म, क्रिप्टोकरेंसी एक्सचेंज, क्लाउड खाते, सोशल मीडिया या अन्य सामुदायिक फ़ोरम पर इस्तेमाल किया गया है, तो इन सभी खातों के लिए अलग-अलग और मज़बूत पासवर्ड तय करें। जहाँ भी संभव हो, बहु-कारक प्रमाणीकरण चालू करें और विशेष रूप से ईमेल व वित्तीय लेनदेन से जुड़े खातों को प्राथमिकता दें। फ़ोरम के पुराने पासवर्ड में मामूली बदलाव करके उसे दोबारा इस्तेमाल करना सुरक्षित नहीं माना जाना चाहिए।

यह मानकर चलें कि फ़ोरम के निजी संदेशों में संवेदनशील लिंक, पुराने निमंत्रण, व्यक्तिगत संपर्क जानकारी या अन्य खातों के बारे में संकेत हो सकते हैं। उपयोगकर्ताओं को Ethereum के नाम पर आने वाले फ़र्ज़ी सहायता संदेशों, वॉलेट सत्यापन के अनुरोधों, खुद को समुदाय का मॉडरेटर बताने वाले लोगों और खाता अपडेट करने के लिंक से सावधान रहना चाहिए। कोई भी वैध सेवा संदेशों के ज़रिए आपकी निजी कुंजी, सीड फ़्रेज़ या वॉलेट रिकवरी की जानकारी नहीं माँगेगी। यदि आप फ़ोरम पर पहले इस्तेमाल किए गए उपयोगकर्ता नाम को कहीं और भी इस्तेमाल करते हैं, तो उन खातों की दिखाई देने वाली प्रोफ़ाइल जानकारी और खाता पुनर्प्राप्ति विकल्पों की भी समीक्षा करें।

लंबी अवधि में सबसे प्रभावी बचाव यह है कि हर सामुदायिक खाते के लिए अलग पासवर्ड इस्तेमाल किया जाए और महत्वपूर्ण खातों को अलग-अलग ईमेल पतों से प्रबंधित किया जाए। ओपन-सोर्स, फ़ोरम और क्रिप्टोकरेंसी समुदायों में इस्तेमाल होने वाले उपयोगकर्ता नाम अक्सर वर्षों तक नहीं बदलते। इसलिए फ़ोरम का पुराना रिकॉर्ड भी किसी व्यक्ति को उसके मौजूदा खातों से जोड़ सकता है। इसी वजह से डेवलपर खातों, एक्सचेंज खातों, ईमेल पतों और सोशल मीडिया प्रोफ़ाइल में एक ही जानकारी के अनावश्यक दोहराव को कम करना ज़रूरी है। पासवर्ड मैनेजर अलग-अलग पासवर्ड बनाने और वर्षों पहले बनाए गए खातों का हिसाब रखने, दोनों के लिए एक व्यावहारिक समाधान है।

संस्थानों के लिए यह घटना दिखाती है कि पुराने बैकअप और खाता पुनर्प्राप्ति माध्यमों की सुरक्षा उतनी ही महत्वपूर्ण है जितनी सक्रिय प्रणालियों की सुरक्षा। जिन डेटाबेस बैकअप का इस्तेमाल नहीं हो रहा है, उन्हें पहुँच से बाहर कर देना चाहिए। बैकअप तक पहुँच रखने वाले खातों को बहु-कारक प्रमाणीकरण से सुरक्षित करना चाहिए और फ़ोन नंबर पर आधारित खाता पुनर्प्राप्ति व्यवस्थाओं पर सावधानीपूर्वक सीमाएँ लगानी चाहिए। फ़ोरम में निजी संदेशों को रखने की अवधि, पासवर्ड हैशिंग एल्गोरिदम, एक्सेस लॉग और उपयोगकर्ताओं को सूचना देने की प्रक्रियाओं का नियमित ऑडिट होना चाहिए। उपयोगकर्ताओं के लिए पुराने फ़ोरम खाते बंद करना या प्रोफ़ाइल में जानकारी कम करना उन जोखिमों को घटाता है जो वर्षों बाद पैदा हो सकते हैं।

यदि आपने 2016 से पहले Ethereum फ़ोरम का इस्तेमाल किया था, तो आपको जाँचना चाहिए कि आपका ईमेल पता इस रिकॉर्ड से जुड़ा है या नहीं। यदि मिलान होता है, तो सबसे पहले अपना ईमेल खाता और वे सभी खाते सुरक्षित करें जिनमें वही पासवर्ड इस्तेमाल हुआ हो सकता है। इसके बाद, फ़ोरम के अपने पुराने निजी संदेशों, साझा किए गए उपयोगकर्ता नामों और अन्य प्लेटफ़ॉर्म से बनाए गए संबंधों को ध्यान में रखते हुए लक्षित संदेशों के प्रति अधिक सतर्क रहें। घटना पुरानी होने के बावजूद, फ़ोरम की पहचान, ईमेल पता और पासवर्ड का दोबारा इस्तेमाल एक साथ होने पर जोखिम बना रह सकता है।

यह रिकॉर्ड Ethereum के डेटा में लगी सेंध का उसके सही संदर्भ में आकलन करने के लिए तैयार किया गया है: घटना फ़ोरम डेटाबेस के बैकअप तक सीमित है, सत्यापित खातों की संख्या 16,431 रखी गई है और डेटा श्रेणियों में ईमेल पते, IP पते, पासवर्ड, निजी संदेश, उपयोगकर्ता नाम और वेबसाइट पर गतिविधि से जुड़े फ़ील्ड शामिल हैं। उपयोगकर्ताओं के लिए बुनियादी कदम हैं: अलग-अलग पासवर्ड इस्तेमाल करना, बहु-कारक प्रमाणीकरण चालू करना, फ़र्ज़ी क्रिप्टो सहायता संदेशों से सावधान रहना और यह आकलन करना कि निजी संदेशों में पहले साझा की गई जानकारी आज भी जोखिम पैदा करती है या नहीं।