Linux Forums: डेटा में सेंध

सत्यापित डेटा फ़ील्ड में ईमेल पते, IP पते, यूज़रनेम और पासवर्ड हैश शामिल हैं। जब ईमेल पता और यूज़रनेम एक साथ मौजूद हों, तो अन्य तकनीकी फ़ोरमों, ओपन-सोर्स परियोजनाओं के कार्यक्षेत्रों, बग ट्रैकिंग सिस्टमों या सोशल प्लेटफ़ॉर्मों पर इस्तेमाल की गई किसी व्यक्ति की पहचानों को आपस में जोड़ने का जोखिम बढ़ जाता है। IP पते उपयोगकर्ता के कनेक्शन के इतिहास, अनुमानित क्षेत्र या इंटरनेट सेवा प्रदाता के बारे में संकेत दे सकते हैं। पासवर्ड फ़ील्ड प्लेन टेक्स्ट में न होने पर भी salted MD5 की सुरक्षा को मजबूत बचाव नहीं माना जाता; तेज़ी से बार-बार पासवर्ड आज़माने वाले हमलों से बचाव के मामले में यह तरीका मौजूदा मानकों से पीछे है। हमलावर ऑफ़लाइन प्रयासों से कमजोर, छोटे या शब्दकोश के शब्दों पर आधारित पासवर्ड का अनुमान लगा सकते हैं। यदि वही पासवर्ड ईमेल, क्लाउड, कोड होस्टिंग सेवाओं, फ़ोरम या सर्वर प्रबंधन पैनलों में दोबारा इस्तेमाल किया जाता है, तो जोखिम फ़ोरम खाते से कहीं आगे तक फैल सकता है।

यह रिकॉर्ड केवल Linux Forums की फ़ोरम सदस्यता के डेटा तक सीमित है। इस घटना का मतलब यह नहीं है कि Linux कर्नेल, Linux डिस्ट्रिब्यूशन, पैकेज रिपॉज़िटरी, ओपन-सोर्स परियोजनाओं के कोड या उपयोगकर्ताओं के Linux सर्वर की सुरक्षा सीधे तौर पर भंग हुई थी। सत्यापित फ़ील्ड ईमेल पता, यूज़रनेम, IP पता और पासवर्ड हैश हैं; फ़ोन नंबर, भौतिक पता, भुगतान कार्ड, आधिकारिक पहचान संख्या, निजी संदेश या वित्तीय डेटा इस रिकॉर्ड के सत्यापित फ़ील्ड में शामिल नहीं हैं। 2,75,785 प्रभावित अलग-अलग खातों की संख्या है। कुछ द्वितीयक स्रोत इस संख्या को राउंड करके 276 हज़ार बता सकते हैं; यहाँ अलग-अलग खातों की सत्यापित संख्या इस्तेमाल की गई है। घटना की अवधि में साइट को उपलब्ध रहे आर्काइव रिकॉर्ड और स्वतंत्र तकनीकी रिपोर्ट इस बात का समर्थन करते हैं कि फ़ोरम में vBulletin के पुराने संस्करण से जुड़े जोखिम थे। साइट की मौजूदा स्थिति का अतिरिक्त सत्यापन नहीं हो सका, क्योंकि प्रोडक्शन वातावरण से लाइव डोमेन ने कोई जवाब नहीं दिया।

सबसे अधिक जोखिम उन लोगों को है जो अपने Linux Forums खाते का पासवर्ड अन्य तकनीकी सेवाओं पर भी इस्तेमाल करते हैं। Linux और ओपन-सोर्स समुदायों में एक ही यूज़रनेम वर्षों तक Git होस्टिंग सेवाओं, पैकेज फ़ोरमों, डिस्ट्रिब्यूशन के सहायता अनुभागों, बग ट्रैकिंग सिस्टमों और IRC या चैट खातों में इस्तेमाल किया जा सकता है। इससे हमलावरों के लिए एक ही फ़ोरम पंजीकरण के आधार पर किसी व्यक्ति की व्यापक ऑनलाइन पहचान का प्रोफ़ाइल बनाना आसान हो जाता है। सिस्टम एडमिनिस्ट्रेटरों, डेवलपरों, छात्रों, ओपन-सोर्स योगदानकर्ताओं और Linux सहायता फ़ोरमों के सक्रिय उपयोगकर्ताओं को विशेष सावधानी बरतनी चाहिए। यदि ईमेल पता कामकाज के खाते से भी जुड़ा है, तो नकली सुरक्षा अलर्ट, पैकेज अपडेट की सूचनाओं या समुदाय के मॉडरेटरों के संदेशों जैसे दिखने वाले संदेशों के ज़रिए लक्षित फ़िशिंग का प्रयास किया जा सकता है। IP पते शामिल होने से हमलावर को उपयोगकर्ता के क्षेत्र या सेवा प्रदाता के आधार पर अधिक भरोसेमंद लगने वाला संदेश तैयार करने में मदद मिल सकती है।

यदि Linux Forums खाते में इस्तेमाल किया गया पासवर्ड किसी दूसरे खाते में भी इस्तेमाल होता है, तो उसे तुरंत बदल देना चाहिए। ईमेल खातों, कोड होस्टिंग सेवाओं, सर्वर प्रबंधन पैनलों, क्लाउड खातों, Linux डिस्ट्रिब्यूशन फ़ोरमों और पैकेज रिपॉज़िटरी खातों को प्राथमिकता देनी चाहिए। हर खाते के लिए अलग, लंबा और ऐसा पासवर्ड इस्तेमाल करना चाहिए जिसका अनुमान लगाना मुश्किल हो; जहाँ भी संभव हो, दो-कारक प्रमाणीकरण चालू करना चाहिए। पासवर्ड बदलने के बाद अपरिचित सेशन बंद कर देने चाहिए और खाता रिकवरी से जुड़े ईमेल की जाँच करनी चाहिए। उसी यूज़रनेम से बनाए गए पुराने फ़ोरम खातों की भी समीक्षा करनी चाहिए। ईमेल इनबॉक्स में आने वाले ऐसे लिंक के प्रति सावधानी बरतनी चाहिए जो Linux सहायता, सुरक्षा पैच, पैकेज अपडेट या फ़ोरम खाते के अलर्ट से संबंधित लगते हों। यदि कोई लिंक लॉगिन पेज पर ले जाता है, तो पते की जाँच खुद करनी चाहिए और पासवर्ड केवल आधिकारिक सेवा पर ही दर्ज करना चाहिए।

यह घटना दिखाती है कि पुराने फ़ोरम सॉफ़्टवेयर में सहेजा गया सदस्यता डेटा कई वर्षों बाद भी जोखिम पैदा कर सकता है। लंबे समय की सुरक्षा के लिए तकनीकी समुदायों के खातों में पासवर्ड मैनेजर का इस्तेमाल करना चाहिए और हर फ़ोरम, परियोजना कार्यक्षेत्र, कोड रिपॉज़िटरी और ईमेल खाते को अलग पासवर्ड से सुरक्षित रखना चाहिए। पुराने फ़ोरम खातों को भूलना नहीं चाहिए; जिन खातों का इस्तेमाल नहीं होता, उन्हें बंद कर देना चाहिए या कम से कम उनका पासवर्ड बदलकर ऐसा पासवर्ड रखना चाहिए जो किसी दूसरे खाते में इस्तेमाल न हो। हर जगह एक ही यूज़रनेम रखना तकनीकी समुदाय में प्रतिष्ठा बनाए रखने के लिहाज़ से सुविधाजनक हो सकता है, लेकिन इससे अलग-अलग पहचानों को आपस में जोड़ने का जोखिम बढ़ता है। विशेष रूप से सिस्टम एडमिनिस्ट्रेटरों और डेवलपरों को अपने निजी फ़ोरम खातों और कामकाज के खातों में पासवर्ड, ईमेल पते और यूज़रनेम का दोबारा इस्तेमाल कम करना चाहिए। IP पतों और ईमेल पतों जैसे स्थायी निशान एक बार फैल जाने पर वापस नहीं लिए जा सकते; इसलिए खातों में दो-कारक प्रमाणीकरण, सेशन की निगरानी और सुरक्षा सूचनाएँ हमेशा सक्रिय रखनी चाहिए।

इस रिकॉर्ड में आपकी जानकारी से मेल मिलना इस बात का संकेत है कि आपके Linux Forums खाते की जानकारी, जिसमें ईमेल पता, फ़ोरम यूज़रनेम, IP पता और पासवर्ड हैश डेटा शामिल हैं, फैल गई हो सकती है। इसका मतलब यह नहीं है कि पासवर्ड प्लेन टेक्स्ट में दिखाई दे रहा था; हालाँकि, salted MD5 की सुरक्षा एक पुराना तरीका है, इसलिए पासवर्ड का दोबारा इस्तेमाल जोखिम भरा माना जाना चाहिए। सबसे पहले उन सभी खातों के पासवर्ड अलग-अलग करने चाहिए, जिनमें एक ही या मिलते-जुलते पासवर्ड इस्तेमाल किए जाते हैं। इसके बाद ईमेल खाते की सुरक्षा, कोड रिपॉज़िटरी खातों, क्लाउड सेवाओं और Linux समुदाय के अन्य खातों की जाँच करनी चाहिए। जानकारी का कोई मेल न मिलने पर भी पुराने फ़ोरम पासवर्ड की समीक्षा करनी चाहिए, क्योंकि तकनीकी उपयोगकर्ता वर्षों तक एक ही यूज़रनेम और पासवर्ड बनाने के मिलते-जुलते पैटर्न इस्तेमाल कर सकते हैं। सबसे उचित तरीका यह है कि हर फ़ोरम के लिए अलग पासवर्ड रखा जाए, दो-कारक प्रमाणीकरण इस्तेमाल किया जाए और तकनीकी समुदायों से आने वाले अनपेक्षित लॉगिन या पासवर्ड रीसेट संदेशों की सावधानी से जाँच की जाए।