Если взглянуть на количество статей о компьютерной безопасности, которые в последнее время появляются на новостных сайтах, то можно сделать вывод, что люди продолжают относиться не очень серьезно к этому вопросу.
Каждый год публикуется подборка слабых паролей, и регулярно в эту подборку входят такие пароли, как 12345, admin и p@assw0rd. Однако, одно из последних исследований в области безопасности показало, что существует еще более распространенный и уязвимый пароль.
Как был определен самый небезопасный пароль?
Компания Avira, которая одной из первых стала использовать модель «freemium» в области антивирусного программного обеспечения, решила создать ловушку для хакеров.
Avira решила имитировать поведение устройств Интернета вещей IoT, таких как маршрутизаторы или камеры безопасности. Таким образом, она сделала себя видимой для всех в Интернете и одновременно с этим уязвимой. Это абсолютно разумная методика исследований в области компьютерной безопасности, поскольку большие участки IoT-среды одинаково небезопасны и уязвимы к хакерским атакам.
Устройство-ловушка компании Avira использовало 3 наиболее распространенных протокола для устройств Интернета вещей: Telnet, Android Secure Bridge и Secure Shell. За один день своего использования в Интернете это устройство собрало данные более чем от 14 тысяч злоумышленников.
Атаки были разделены на 2 этапа и почти во всех случаях выполнялись в автоматическом режиме. На первом этапе выполнялся поиск цели путем сканирования портов или с помощью специальной поисковой системы, осуществляющей поиск устройств, подключенных к Интернету (такой как Shodan). Иногда даже использовалась хакерская информация, полученная из сообществ киберпреступников.
На втором этапе происходили действительно очень интересные вещи. Преступники пытаются скомпрометировать устройство, чтобы заразить его вредоносными программами, взять под свой контроль или добавить его в зомби-сеть, которая будет применяться других атак. Устройство-ловушка от Avira регистрировало все попытки угадать учетные данные на данном этапе атаки, а также другие данные о векторах заражения и вредоносных скриптах.
Что удалось установить специалистам компании Avira с помощью устройства-ловушки?
Устройства, использующие концепцию Интернета вещей, не отличаются высоким уровнем безопасности, скорее даже наоборот – считаются абсолютно небезопасными. Существует 3 проблемы, связанные с учетными данными, требуемыми для доступа к этим устройствам. Первая заключается в том, что многие устройства приходят с завода с заранее установленными учетными данными (имя пользователя и пароль), а пользователю не предоставляется возможности их изменить. Вторая проблема относится к случаю, когда пользователь имеет возможность изменения учетных данных, но настройки по умолчанию обычно слабые и известные всем. Третья проблема состоит в том, что среднестатистический пользователь не знает, как правильно сбросить учетные данные.
К этим трем проблемам можно добавить еще одну: большинство пользователей используют одно и то же имя пользователя (Admin) и пароль на нескольких устройствах. Повторное использование учетных данных – очень рискованный шаг. Даже если этот пароль является относительно надежным, при каждом его повторном использовании его надежность уменьшается. Достаточно один раз взломать такой пароль, и сразу несколько устройств становятся скомпрометированными.
Какой самый распространенный небезопасный пароль?
Безусловно, самый рискованный вариант поведения – применение общего пароля для нескольких устройств. Списки слабых паролей публикуются регулярно на разных ресурсах. Их основу составляют данные, полученные из «темного сегмента» сети Интернет. В этих списках доминируют 3 пароля, указанные выше (12345, p@assw0rd и Admin). Однако, компании Avira удалось найти еще более распространенный и менее безопасный пароль.
Наиболее небезопасными учетными данными являются оставленные пустыми поля ввода. Это значит, что злоумышленнику достаточно оставить поля ввода пароля и имени пустыми, и он получит доступ к вашему устройству.
Результаты исследования
Исследование компании Avira показало, что атаки с пустыми учетными данными составили 25,6% от их общего числа.
В то же время не было обнаружено ни одной попытки несанкционированного доступа к интеллектуальному устройству с использованием таких распространенных пар учетных данных, как «support - support», «admin – admin» и «root – root».
Как обезопасить свое умное устройство?
Avira рекомендует осуществить поиск в Интернете на наличие потенциальных уязвимостей в их интеллектуальных устройствах и проверить сами устройства на предмет обновления программного обеспечения.
Помимо этого, специалисты рекомендуют никогда не использовать повторно ни один пароль. Зайдите на сайт Have I Been Pwned и введите ваш адрес электронной почты, чтобы узнать, где еще были найдены ваши учетные данные.
Для замены слабых паролей на более сложные используйте генератор паролей, например, 1Password, или менеджер паролей. В последнем случае вам понадобится запомнить всего 1 пароль, чтобы управлять остальными.