GameSalad: डेटा में सेंध

इस सेंध में पासवर्ड के साथ ईमेल पते, उपयोगकर्ता नाम और IP पते उजागर हुए थे। पासवर्ड को SHA-256 हैश के रूप में संग्रहीत करने का मतलब यह नहीं है कि वे प्लेन टेक्स्ट (बिना हैश किए गए मूल पासवर्ड) हैं; हालाँकि, केवल SHA-256 का इस्तेमाल करना आज पासवर्ड संग्रहीत करने का सबसे मज़बूत विकल्प नहीं माना जाता। अगर पासवर्ड छोटा है, उसका अनुमान लगाना आसान है या वही पासवर्ड अन्य खातों पर भी इस्तेमाल किया गया है, तो हमलावर हैश क्रैक करके और स्वचालित लॉगिन प्रयासों के ज़रिए अलग-अलग सेवाओं को निशाना बना सकते हैं। अगर शिक्षा, गेम विकास, फ़ोरम, सोशल मीडिया या ईमेल खातों के लिए एक ही ईमेल पता और पासवर्ड इस्तेमाल किया गया हो, तो जोखिम बढ़ जाता है।

IP पते और उपयोगकर्ता नाम भी अतिरिक्त संदर्भ देते हैं। केवल IP पता किसी स्थान या पहचान का निर्णायक प्रमाण नहीं होता; हालाँकि, ईमेल पते और उपयोगकर्ता नाम के साथ मिलाकर इसका इस्तेमाल प्रोफ़ाइल का मिलान करने, फ़र्ज़ी सुरक्षा सूचनाएँ भेजने और लक्षित फ़िशिंग संदेश तैयार करने के लिए किया जा सकता है। GameSalad जैसे शिक्षा और निर्माण संबंधी टूल के उपयोगकर्ता छात्र, स्वतंत्र डेवलपर या छोटी टीमें हो सकते हैं। जब ये समूह प्रोजेक्ट खातों को निजी ईमेल खातों से जोड़ते हैं, तो लीक का असर उनसे जुड़े अन्य खातों तक भी फैल सकता है।

GameSalad की घटना के लिए सत्यापित संख्या 15,06,242 ही रखी जानी चाहिए। यह संख्या GameSalad की घटना से जुड़े खातों का दायरा बताती है; अन्य प्लेटफ़ॉर्म को शामिल करने वाली डेटा बिक्री की किसी बड़ी लहर में इस घटना का उल्लेख होने से GameSalad के लिए अधिक संख्या इस्तेमाल करना उचित नहीं हो जाता। एक ही उपयोगकर्ता के कई खाते हो सकते हैं, कुछ रिकॉर्ड पुराने ईमेल पतों से जुड़े रह सकते हैं या तकनीकी कारणों से डुप्लिकेट रिकॉर्ड दिखाई दे सकते हैं। इसलिए इस संख्या को खातों के रिकॉर्ड की संख्या के रूप में बताया जाना चाहिए, न कि वास्तविक व्यक्तियों की सटीक संख्या के रूप में।

सत्यापित डेटा श्रेणियाँ ईमेल पते, IP पते, पासवर्ड और उपयोगकर्ता नाम हैं। पासवर्ड फ़ील्ड को SHA-256 हैश के रूप में स्पष्ट किया जाना चाहिए। फ़ोन, पता, भुगतान, आधिकारिक पहचान पत्र, जन्मतिथि, निजी संदेश, गेम प्रोजेक्ट फ़ाइल, डिवाइस की जानकारी या छात्र रिकॉर्ड जैसी श्रेणियों को सत्यापन होने तक इस रिकॉर्ड में नहीं जोड़ा जाना चाहिए। यह सीमा उपयोगकर्ता को जोखिम की सही जानकारी देती है और प्लेटफ़ॉर्म के सामान्य उपयोग के आधार पर अप्रमाणित डेटा श्रेणियाँ जोड़ने से रोकती है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने GameSalad खाते का पासवर्ड दूसरे खातों पर भी इस्तेमाल करते हैं। शिक्षा और गेम विकास के प्लेटफ़ॉर्म पर उपयोगकर्ता अक्सर अपने निजी ईमेल पतों से खाते बनाते हैं। अगर वही ईमेल पता और पासवर्ड उनके ईमेल खाते, गेम स्टोर, छात्र खाते, फ़ोरम या सोशल मीडिया खाते पर अब भी मान्य हैं, तो पुरानी सेंध भी आज खाते पर कब्ज़ा होने का जोखिम पैदा कर सकती है।

स्वतंत्र डेवलपरों, छात्रों, शिक्षकों और छोटी टीमों को भी अपने खातों के मामले में सावधानी बरतनी चाहिए। उपयोगकर्ता नाम और ईमेल पते को विकास समुदायों में किसी व्यक्ति की प्रोफ़ाइल से जोड़ा जा सकता है। IP पता भी सत्र के संदर्भ के बारे में अतिरिक्त संकेत दे सकता है। भले ही कोई पुराना खाता अब इस्तेमाल न हो रहा हो, अलग-अलग प्लेटफ़ॉर्म पर वही उपयोगकर्ता नाम रखने की स्थिति में हमलावर फ़र्ज़ी सहयोग, प्रोजेक्ट साझा करने, खाते के सत्यापन या शैक्षिक सामग्री से जुड़े संदेशों के ज़रिए उपयोगकर्ता को निशाना बना सकते हैं।

जिस उपयोगकर्ता का ईमेल पता GameSalad के डेटा में मौजूद हो, उसे सुनिश्चित करना चाहिए कि उसके GameSalad खाते का पुराना पासवर्ड किसी अन्य प्लेटफ़ॉर्म पर अब मान्य न हो। अगर वही या उससे मिलता-जुलता पासवर्ड कहीं और इस्तेमाल किया गया है, तो हर खाते के लिए अलग, लंबा और ऐसा पासवर्ड बनाना चाहिए जिसका अनुमान लगाना कठिन हो। पासवर्ड मैनेजर का इस्तेमाल एक ही पासवर्ड दोबारा इस्तेमाल करने का जोखिम कम करता है। पासवर्ड का छोटा-सा हिस्सा बदलना, अंत में कोई वर्ष जोड़ना या उसी ढाँचे को बनाए रखना पर्याप्त नहीं है।

ईमेल खातों, शैक्षिक प्लेटफ़ॉर्म, गेम विकास के टूल, सोशल मीडिया और भुगतान की सुविधा वाली सेवाओं पर दो-कारक प्रमाणीकरण चालू किया जाना चाहिए। अगर खाते के इतिहास में अपरिचित सत्र, अज्ञात डिवाइस, पासवर्ड रीसेट के अनुरोध या सुरक्षा सूचनाएँ दिखाई दें, तो सत्र बंद करने चाहिए और खाता पुनर्प्राप्ति की जानकारी अपडेट करनी चाहिए। GameSalad या गेम विकास से जुड़े फ़र्ज़ी प्रोजेक्ट निमंत्रणों, गिफ़्ट कोड और खाता सत्यापन संदेशों की सावधानी से जाँच करनी चाहिए। लिंक पर क्लिक करने से पहले पते और भेजने वाले की जानकारी का स्वतंत्र रूप से सत्यापन करना चाहिए।

GameSalad की घटना दिखाती है कि शिक्षा और निर्माण संबंधी टूल के खातों को भी पहचान से जुड़े मुख्य खातों जितनी सुरक्षा मिलनी चाहिए। उपयोगकर्ताओं को निजी, शैक्षिक, विकास संबंधी और सोशल खातों पर एक ही पासवर्ड दोबारा इस्तेमाल नहीं करना चाहिए। पुराने प्लेटफ़ॉर्म खातों की नियमित समीक्षा करनी चाहिए। जिन खातों का इस्तेमाल नहीं होता, उन्हें बंद कर देना चाहिए या अलग-अलग पासवर्ड और बहु-कारक प्रमाणीकरण के साथ सुरक्षित रखकर अन्य खातों से अलग करना चाहिए। कई प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम रखने का निर्णय सोच-समझकर लेना चाहिए, क्योंकि इससे प्रोफ़ाइल का मिलान करना आसान हो जाता है।

सेवा प्रदाताओं के लिए मुख्य सीख यह है कि पासवर्ड हैशिंग की प्रक्रिया केवल किसी मानक हैश फ़ंक्शन तक सीमित नहीं होनी चाहिए। पासवर्ड संग्रहीत करने के लिए आधुनिक, पासवर्ड-केंद्रित तरीकों को प्राथमिकता देनी चाहिए, जिनमें गणना की लागत समायोजित की जा सके। IP पतों जैसे सत्र डेटा को आवश्यकता से अधिक समय तक नहीं रखना चाहिए और एक्सेस लॉग की नियमित जाँच करनी चाहिए। घटना की रिपोर्ट देते समय यह स्पष्ट बताया जाना चाहिए कि कौन-सा डेटा लीक हुआ, किस डेटा की पुष्टि नहीं हो सकी और किसी विशेष प्लेटफ़ॉर्म के दायरे को बड़े संग्रह की संख्याओं से अलग कैसे पहचाना गया है।

GameSalad में डेटा सेंध से जुड़े पंजीकरण रिकॉर्ड की जाँच के दौरान परिणाम बताता है कि दर्ज किया गया ईमेल पता इस सत्यापित डेटा सेट में मिला है या नहीं। अगर मिलान मिलता है, तो ईमेल पता, उपयोगकर्ता नाम, IP पता और SHA-256 पासवर्ड हैश को जोखिम के दायरे में माना जाना चाहिए। अगर मिलान नहीं मिलता, तो इसका मतलब है कि इस विशेष डेटा सेट में कोई मेल नहीं मिला; इसका यह अर्थ नहीं है कि उस व्यक्ति का डेटा किसी अन्य सेंध में प्रभावित नहीं हुआ है। इसलिए परिणाम को केवल GameSalad की घटना के संदर्भ में ही समझना चाहिए।

उपयोगकर्ता को पुराने पासवर्ड का इस्तेमाल पूरी तरह बंद कर देना चाहिए, दोबारा इस्तेमाल किए गए सभी पासवर्ड बदलने चाहिए, ईमेल खाते को बहु-कारक प्रमाणीकरण से सुरक्षित करना चाहिए और उसी उपयोगकर्ता नाम से खोले गए शैक्षिक, विकास संबंधी या गेमिंग खातों की समीक्षा करनी चाहिए। अगर आज भी वही पासवर्ड इस्तेमाल हो रहे हैं, तो पुरानी घटना भी वर्तमान जोखिम पैदा करती है। रिकॉर्ड का मिलान मिलने पर उपयोगकर्ता को केवल GameSalad खाते की सुरक्षा नहीं सुधारनी चाहिए, बल्कि उन्हीं लॉगिन विवरणों से जुड़े सभी खातों के इस्तेमाल की आदतों में भी सुधार करना चाहिए।