سوالات بدون پاسخ پیرامون هک شدن یاهو و فاش شدن اطلاعات 500 میلیون کاربر
راهنمای مطالعه:
یاهو رسما اعلام کرد که در سال ۲۰۱۴ قربانی هک گسترده ای شده است.اما حدودا بعد از ۲ سال و پس از فروش این اطلاعات در بازار سیاه رسما به این حمله اعتراف کرده است.
اطلاعاتی از جمله نام ها،آدرس ایمیل،شماره تلفن و سوالات امنیتی از شبکه شرکت یاهو در سال ۲۰۱۴ دزدیده شده است. رمز عبور ها هم البته به صورت مخدوش شده دزدیده شده که باعث می شود هکرها نتوانند بلافاصله از آن ها استفاده کنند. همچنین شرکت یاهو بر این باور است که اطلاعات مالی دست نخورده باقی مانده است.
این کمپانی، هک را در بیانیه ای در پنج شنبه شب تایید کرد. اما این بیانیه و اطلاعیه ای که در جمعه صبح به مشتریان ارسال شد، سوالات زیادی را ایجاد کردند.
سوالات عمده
مهم ترین سوالات درباره این است که چرا این اطلاع رسانی اینقدر دیر انجام شده است. چون زمان هک مربوط به ۲ سال پیش بوده و این اطلاعات حدود ۲ ماه پیش در دارک وب (Dark Web) توسط کاربری به نام Peace of Mind فروخته شد، کاربری که پیش از این اطلاعاتی از سایت های مای اسپیس (MySpace) و لینکدین (LinkedIn) به فروش گذاشته بود. جرمایاه گراسمن مدیر بخش استراتژی امنیت شرکت سنتینل وان (SentinelOne) می گوید: «ما در حالی که می دانیم این اطلاعات در سال ۲۰۱۴ دزدیده شده، اما نمی دانیم که یاهو چه زمانی از این هک آگاه شده است. این بخش مهمی از داستان است.»
گراسمن که تا سال ۲۰۱۱ مسئول بخش امنیت دپارتمان مهندسی یاهو بوده، می گوید این ادعای یاهو که هکر ها از پشتیبان دولتی برخوردار بوده اند نیازمند تحقیق بیشتری است. او در ادامه گفته است: «هکرهای دولتی هیچوقت چنین اطلاعاتی را در بازار سیاه به فروش نمی رسانند. کاری که هکر یاهو انجام داده است. این هک به احتمال قریب به یقین فقط با انگیزه های مالی انجام شده است، پس احتمال این که او از پشتیبانی دولتی برخوردار بوده بسیار کم است. اگر هم چنین باشد پس باید داستان درباره ۲ نفوذ جداگانه توسط ۲ تیم مختلف باشد.»
کریس هادسن مدیر بخش اطلاعات امنیت اروپا،آفریقا و خاورمیانه ی شرکت امنیتی زسکالر با این گفته ها موافق است و در پی آن بیان کرده: «بدون هیچگونه اطلاع رسانی درباره نحوه این هک،ادعای یاهو مبنی بر دولتی بودن هکر ها اصلا قابل اثبات نیست. این ادعای یاهو به نظر بیشتر برای منحرف کردن افکار عمومی به نظر می رسد و با توجه به عدم اطلاع رسانی دقیق نمی توان به طور قطع نظر داد.»
در ضمن معلوم نیست تا چه حد رمز های عبور از هک نجات یافته اند. اما یاهو اذعان کرده رمز ها به صورت مخدوش شده به دست هکر ها رسیده است.
این کمپانی تاکید کرده است که قسمت اعظمی از رمز های عبور توسط الگوریتمی به نام بی کریپت (bcrypt) مخدوش شده است. این روش باعث می شود حتی رمز های یکسان به صورت مخلوطی از کاراکتر ها در دیتابیس ذخیره شوند. این گونه بسیاری از افراد هم که رمز های بسیار آسانی انتخاب کرده اند از هک آسیب پذیر نخواهند بود. اما معلوم نیست آن درصد اندک که شامل این رمز نگاری نبوده اند چه تضمینی خواهند داشت.
این حمله باعث شده درباره مفید بودن به دست آوردن رمز توسط سوال های امنیتی زیر سوال برود، وقتی که به راحتی با چند سوال ساده درباره نام مادر یا شهر تولد هکر می تواند رمز قربانی را به دست گیرد. یاهو تمام این سوال ها را رمز نگاری نکرده، پس تعدادی از این سوالات به راحتی در دسترس هکر ها قرار گرفته است.
سرنوشت ادغام با ورایزون
یک سوال دیگر که بعد از این هک بی جواب مانده است: تکلیف ادغام چندین میلیارد دلاری یاهو با ورایزون (Verizon) چه خواهد شد؟ کوین کانینگهام، موسس و رییس شرکت سیل پوینت (SailPoint) در این باره می گوید: «به احتمال زیاد ورایزون با توجه به این قضیه قیمت گذاری کرده است. ادغام شرکت ها با روندی بسیار طولانی و دقیق صورت می گیرد. شرکت ها معمولا با تحقیقی مفصل به چنین پیشنهاداتی دست می زنند. ورایزون با توجه به تعداد زیاد کاربران یاهو ریسک چنین ادغامی را از قبل خبر داشته است. این سوال که آیا این خبر بر قیمت گذاری تاثیر می گذارد یا نه بستگی به بررسی دقیق در زمینه کنترل امنیت یاهو دارد. این هک نه تنها باید نگرانی در زمینه امنیت شبکه را بالا ببرد بلکه دولت را هم باید نگران کند. چون دیده ایم در موارد هک هایی همچون لینکدین (LinkedIn)، دراپ باکس (DropBox) و بسیاری از موارد دیگر با استفاده از این اطلاعات، اعتبار شهروندان زیادی زیر سوال می رود.»
توصیه برای کاربران
اما برای کاربران این سوالات اصلا اهمیتی ندارد. تنها توصیه ای که در این موقعیت می توان به کاربران یاهو کرد این است: پسورد حساب کاربری یاهو و سوالات امنیتی خود را هرچه زودتر تغییر دهند، همچنین پسورد جاهای دیگری که این اطلاعات را در آن استفاده کرده اند. در نهایت آن ها باید از این پسورد ها در هیچ حساب کاربری دیگری استفاده نکنند.
چون یاهو یک سرویس ایمیل بزرگ محسوب می شود یک مشکل دیگر هم وجود دارد.هر حساب کاربری که با ایمیل یاهو باز شده است باید هرچه زودتر رمز آن حساب تغییر یابد.
این کمپانی، هک را در بیانیه ای در پنج شنبه شب تایید کرد. اما این بیانیه و اطلاعیه ای که در جمعه صبح به مشتریان ارسال شد، سوالات زیادی را ایجاد کردند.
گراسمن که تا سال ۲۰۱۱ مسئول بخش امنیت دپارتمان مهندسی یاهو بوده، می گوید این ادعای یاهو که هکر ها از پشتیبان دولتی برخوردار بوده اند نیازمند تحقیق بیشتری است. او در ادامه گفته است: «هکرهای دولتی هیچوقت چنین اطلاعاتی را در بازار سیاه به فروش نمی رسانند. کاری که هکر یاهو انجام داده است. این هک به احتمال قریب به یقین فقط با انگیزه های مالی انجام شده است، پس احتمال این که او از پشتیبانی دولتی برخوردار بوده بسیار کم است. اگر هم چنین باشد پس باید داستان درباره ۲ نفوذ جداگانه توسط ۲ تیم مختلف باشد.»
کریس هادسن مدیر بخش اطلاعات امنیت اروپا،آفریقا و خاورمیانه ی شرکت امنیتی زسکالر با این گفته ها موافق است و در پی آن بیان کرده: «بدون هیچگونه اطلاع رسانی درباره نحوه این هک،ادعای یاهو مبنی بر دولتی بودن هکر ها اصلا قابل اثبات نیست. این ادعای یاهو به نظر بیشتر برای منحرف کردن افکار عمومی به نظر می رسد و با توجه به عدم اطلاع رسانی دقیق نمی توان به طور قطع نظر داد.»
در ضمن معلوم نیست تا چه حد رمز های عبور از هک نجات یافته اند. اما یاهو اذعان کرده رمز ها به صورت مخدوش شده به دست هکر ها رسیده است.
این کمپانی تاکید کرده است که قسمت اعظمی از رمز های عبور توسط الگوریتمی به نام بی کریپت (bcrypt) مخدوش شده است. این روش باعث می شود حتی رمز های یکسان به صورت مخلوطی از کاراکتر ها در دیتابیس ذخیره شوند. این گونه بسیاری از افراد هم که رمز های بسیار آسانی انتخاب کرده اند از هک آسیب پذیر نخواهند بود. اما معلوم نیست آن درصد اندک که شامل این رمز نگاری نبوده اند چه تضمینی خواهند داشت.
این حمله باعث شده درباره مفید بودن به دست آوردن رمز توسط سوال های امنیتی زیر سوال برود، وقتی که به راحتی با چند سوال ساده درباره نام مادر یا شهر تولد هکر می تواند رمز قربانی را به دست گیرد. یاهو تمام این سوال ها را رمز نگاری نکرده، پس تعدادی از این سوالات به راحتی در دسترس هکر ها قرار گرفته است.
چون یاهو یک سرویس ایمیل بزرگ محسوب می شود یک مشکل دیگر هم وجود دارد.هر حساب کاربری که با ایمیل یاهو باز شده است باید هرچه زودتر رمز آن حساب تغییر یابد.
درباره این مطلب دیدگاهی بنویسید...
آدرس پست الکترونیک شما منتشر نخواهد شد.