Hlavní navigace

Máme se bát krádeží účtů?

25. 5. 2007
Doba čtení: 5 minut

Sdílet

 Autor: 29
V poslední době se opět objevují případy, kdy má docházet ke krádežím uživatelských účtů bezplatných služeb. Nakolik se jedná o skutečnou hrozbu? Jsou bezplatné služby nutně méně zabezpečené a máme se bát například o svůj e-mail?

Není to tak dávno, co se i u nás začalo opět hovořit o problémech některých bezplatných online služeb. V tomto případě šlo konkrétně o ICQ (které se v zápětí ocitlo pod palbou ohledně své poněkud problematické uživatelské licence), ale v podstatě se může jednat o jakoukoliv službu, která je na Internetu poskytována. Nakolik je reálná hrozba toho, že se jednou probudíme a zjistíme, že identita v populárním systému již nepatří nám, ale někomu úplně jinému? Kupodivu v této velmi závažné otázce panuje mnoho nejasností. Pokusím se je zde alespoň trochu osvětlit.

Volné a vázané

Titulek tohoto odstavce má rozlišovat typy dostupných elektronických služeb. Je sice právně nesprávný, ale technicky vzato myslím celkem přesně postihuje jejich dělení. Na jedné straně jsou totiž služby, které jsou vázány na písemnou smlouvu mezi jejich uživatelem a poskytovatelem. Velmi často bývají placené nebo jsou doplňkem něčeho jiného, co s Internetem vůbec nesouvisí. Tak například internetové bankovnictví je v podstatě elektronickou prodlouženou rukou našeho účtu. Komerční webhosting je zase službou, kdy uživatel svému poskytovateli platí a hlavně – kdy se uživatel a poskytovatel znají a navzájem si vyměnili mnoho údajů o sobě.

V těchto případech, i kdyby došlo ke krádeži uživatelského účtu patřícího konkrétní osobě někým jiným, není problém napadení vyřešit. Právě proto, že se organizace, která službu poskytuje, nějak „zná“ s tím, kdo ji využívá. U volných služeb tomu tak ale není.

A volné jsou přitom právě ty nejpoužívanější. Bezplatný webhosting, freemail, instant messaging, veřejný VoIP systém, chatovací server a další a další. K registraci nepotřebuje uživatel nic jiného než platnou e-mailovou adresou, někdy ani tu ne. Služba je pro něj typicky zadarmo. Pokud se stane, že mu někdo ukrade a následně změní přihlašovací a identifikační údaje, provozovatel služby má jen minimum možností vše opět uvést do pořádku. Svého původního a legitimního uživatele totiž prostě a jednoduše nezná.

Z toho vyplývá, že bezplatné služby typu ICQ jednoduše řečeno nelze garantovat ve smyslu reverzibility. Poškození uživatele za normálních okolností nelze vrátit zpět. Není totiž jak.

Přes všechnu snahu

Většina volných služeb, a zde rozhodně nehovořím pouze o ICQ, je dnes ve stavu vývoje, kdy se po různých peripetiích staly stabilními a běžně použitelnými pro miliony uživatelů. Při zřizování jejich účtů a následně při jejich použití (minimálně tehdy, kdy jsou posílány přihlašovací údaje) je používáno jednak šifrované spojení se serverem a jednak další metody, které zajišťují ochranu uživatelů před lokálním útokem, který by směřoval k odposlechnutí a následnému odcizení jejich identity. Stejně tak je chráněn i server zprostředkovatele služby, když připouští omezený počet současných přihlášení z jedné IP adresy, blokuje účet po určitém počtu neplatných pokusů o přihlášení, omezuje automatické registrace a kontroluje klienty. Všechny tyto funkce sice představují pro provozovatele služeb dodatečné náklady na jejich fungování, ale dávají jím i uživatelům elementární míru jistoty, že jejich data a identity nejsou vystaveny prvnímu útočníkovi, který se namane, a že získat důležité údaje bez jejich vůle je přinejmenším nesnadné. To ale neznamená, že jsou uživatelé zcela v bezpečí.

Když pomineme přetrvávající možnost lokálního útoku na uživatelský účet například formou keyloggeru v počítači, omezují se snahy potenciálních zlodějů identit na server. To měl být třeba případ útoku na ICQ. Server, jakkoliv dokonalý, běží na určitém operačním systému, který může mít své bezpečnostní vady. Také jeho výkonný software může neodolat dostatečnému počtu útoků. Odcizení identity ve smyslu prolomení hesla (tam, kde se pro identifikaci používá kombinace jméno/heslo, což je skoro všude) je dnes již nepravděpodobné, protože moderní služby neukládají heslo ve formátu textu (stringu), ale jako otisk, čili hash. Když útočník získá hash, nemá vlastně nic a k prolomení hesla potřebuje minimálně značnou výpočetní dobu. Mnohem efektivnější je přinutit server (a to je i současný trend v těchto útocích), aby uživatelské účty jednoduše zapomněl. Aby došlo k jejich vymazání nebo k deaktivaci se současným uvolněním jednoznačného identifikátoru – v případě ICQ čisla UIN. Pak může útočník založit nový účet se stejným „číslem“, ale vlastními přihlašovacími údaji. I když nebude mít k dispozici uživatelská data původního uživatele (ta jsou v deaktivovaném účtu), může používat jeho identitu a je velmi pravděpodobné, že například osobám, které mají tohoto uživatele na svém seznamu kontaktů, se bude tvářit jako jejich autentický „buddy“. Stejné je to u účtů elektronické pošty, SIP adres a pochopitelně webových serverů.

Pokud je takový útok proveden jednorázově, může jej provozovatel služby vyřešit jednorázovým obnovením účtů ze zálohy. Metoda Augiášova chléva sice přinese do uživatelských účtů opět pořádek, ale současně s sebou vezme všechny legitimně založené účty od data, ke kterému byla pořízena záloha, z níž se obnovuje. Čím více je útok proti účtům „distribuován“ do delšího času, tím nižší je pravděpodobnost úspěšného obnovení a zároveň šance, že se provozovatel služby k něčemu takovému vůbec rozhoupe.

BRAND24

Neplačme

Útok, který jsem popsal výše, je sice možný, ale je třeba si uvědomit, že i „bezplatné“ služby jsou o penězích. I když jejich provozovatelé uživatele písemnými smlouvami neváží a i když za ně uživatelé většinou nic neplatí, zisků se dosahuje jinak. Protože bezpečnostní kompromitace služby představuje ohrožení zisku jejího provozovatele, je bezpečnosti věnována velká pozornost. Servery jsou kontrolovány a aktualizovány, jak je to jen možné, jejich bezpečnostní konfigurace je na nejvyšší úrovni. Provádějí se pravidelné audity, dokonce simulace útoků. Pokud je mi známo, ani ona sporná krádež účtů na ICQ se nepotvrdila, i když měl jistý ruský server nabízet kradená čísla k prodeji.

Zkrátka a dobře, přesto, že používání bezplatné a volné služby nelze garantovat a v případě úspěšné krádeže identity ji většinou není možné efektivně získat zpět, současně není důvod se takové krádeže příliš obávat. Naše data jsou v rukách odborníků, a tak záleží spíše na tom, jak se chováme my, jako uživatelé. Používáme dostatečně silná hesla? Pro každý účet jiné? Měníme je pravidelně? Nezadáváme své přihlašovací údaje do počítačů, kterým nelze věřit, třeba do veřejných terminálů? Nepřipojujeme se k cizím a podezřelým „bezplatným“ sítím, třeba na ulici? Nevykřikujeme svá hesla ze sna?

Cítíte se ohroženi možností ztráty svého (e-mailového, ICQ, ...) uživatelského účtu?

Byl pro vás článek přínosný?

Autor článku

Autor je sociolog, odborný publicista, poradce, a lektor.

Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).