حدود یک ماه قبل، Hacker News درباره مورد حمله قرار گرفتن Dropbox گزارشی ارائه کرد که در آن مهاجمین موفق به دزیدن بیش از ۶۸ میلیون حساب‌کاربری Dropbox شده بودند که توسط یک رخنه اطلاعاتی در ابتدا در سال ۲۰۱۲ توسط ویژگی ذخیره‌سازی آنلاین cloud کشف شده بود.
هرچند اعلام اولیه در شفاف‌سازی صحیح میزان رخنه اطلاعاتی موفق نبود، در اواخر ماه اوت بود که سرویس اعلام نفوذ LeckBase فایلی را بدست آورد که حاوی جزئیات بیش از ۶۸ میلیون حساب‌کاربری بود که شامل آدرس پست الکترونیک و کلمات عبور hash شده مربوط به کاربران Dropbox بود.
ماه گذشته، یک مهاجم اطلاعات خارج شده از Dropbox را بر روی فروشگاه Dark Web که معروف به TheReadDeal است، به قیمت ۱۲۰۰ دلار فروخت.
توماس وایت، که به نام The Cthulhu مشهور است، اینگونه ادعا می‌کند که روز دوشنبه، تمام اطلاعات خارج شده از بانک اطلاعاتی Dropbox را بر روی وب سایت قرار داده است، که به محققان امنیتی کمک کند تا این نشت اطلاعاتی را بررسی کنند.
بنابراین، در حال حاضر هر کسی می‌تواند به طور کاملا رایگان بانک اطلاعاتی لو رفته ۶۸٫۶۸۰٫۴۷۱ حساب‌کاربری Dropbox را دانلود کند که شامل پست‌های الکترونیک و کلمات عبور hash شده است.
وایت در وب‌سایت خود می‌نویسد: “این اطلاعات نشر پیدا کرده، در سال ۲۰۱۲ در پی رخنه اطلاعاتی از Dropbox گرفته شده است. من کمک کردم تا این اطلاعات لو رفته از بانک اطلاعاتی، در اختیار آنان که تلاش می‌کنند تا یک منبع موثق برای انجام تحقیقات پیدا کنند، قرار گیرد.”
وایت همان کسی است که درگذشته اطلاعات کاربران را از رخنه عظیمی که در شرکت‌های بزرگی شامل سایت Ashley Madison، سایت شبکه اجتماعی Myspace و غیره بود، خارج کرده بود.
خبر خوب این است که از حدود ۶۸ میلیون، در حدود ۳۲ میلیون کلمه عبور، از طریق تابع hashing BCrypt ایمن شده بودند، که این امر کار را برای مهاجمین سخت می‌کند تا کلمه عبور واقعی کاربران را پیدا کنند.
بقیه کلمات عبور، توسط الگوریتم hash ،SHA-1 شده بودند و همچنین اعتقاد بر این است که در این کلمات عبور، از Salt استفاده شده است که یک رشته تصادفی است که به فرآیند hash کردن اضافه می‌شود تا کلمات عبور قوی‌تر شده و فرآیند شکستن آن‌ها توسط مهاجمین سخت‌تر شود.
علاوه بر این، این شرکت در گذشته به مشتریانی که تحت تأثیر این موضوع قرار داشتند، اطمینان داده بود که هیچ‌گونه مدرک مستدلی مبنی بر دسترسی بدخواهانه (۱) به حساب‌کاربری آن‌ها گزارش نشده است. این شرکت می‌گوید: “بر اساس نظارت تهدیدها توسط ما و روشی که کلمات عبور را ایمن کردیم، اعتقاد نداریم هیچ یک از حساب‌کاربری‌ها در دسترس دیگران قرار گرفته باشد.”
این تابستان، Dropbox تنها یکی از رخنههای اطلاعاتی عظیمی است که منتشر شده است، در حالی که میلیون‌ها اطلاعات محرمانه حساب‌کاربری‌های مربوط به سایت‌های شبکه‌های اجتماعی معروف نظیر LinkedIn ،MySpace ،VK.com و Tmbler به صورت آنلاین منتشر شده است.
بهترین راه برای حفاظت از خود، تغییر کلمه عبور مربوط به Dropbox و دیگر حساب‌کاربری‌های آنلاین است، مخصوصا اگر شما از یک کلمه عبور مشابه برای چندین وب‌سایت استفاده می‌کنید. همچنین استفاده از یک نرم‌افزار مدیریت کلمه عبور برای ایجاد و مدیریت کلمات عبور پیچیده برای سایت‌های مختلف توصیه می‌شود.
با این حال، DropBox در حال حاضر به تمامی کاربران آلوده شده ایمیل زده است و فرآیند ریست کردن کلمه عبور را برای آنانی که کلمه عبور خود را از سال ۲۰۱۲ تغیر ندادند انجام داده است تا مطمئن شود که مهاجمین به حساب‌کاربری‌های DropBox حتی در صورت شکستن کلمات عبور منتشر شده، دسترسی پیدا نکنند.
منبع
http://thehackernews.com/2016/10/dropbox-password-hack.html
(۱) Malicious
ثبت ديدگاه