2020 संगणक सुरक्षेच्या दृष्टीने हे चांगले वर्ष नाही. डेव्हिड त्यांना सांगितले दुसर्‍या दिवशी झूम खात्यांची विक्री. आणि असं वाटतं यावेळी मायक्रोसॉफ्टच्या होस्टिंग आणि व्हर्जन कंट्रोल सर्व्हिसच्या गीटहबची बारी होती. अशी नोंद झाली त्याचे बरेच वापरकर्ते विशेषत: त्यांची क्रेडेन्शियल संकलित करण्यासाठी आणि चोरी करण्यासाठी बनविलेल्या फिशिंग मोहिमेचा बळी पडत आहेत गीटहब लॉगिन पृष्ठाची नक्कल करणारी अ‍ॅप्रोक्रिफाल पृष्ठांद्वारे.
गीटहब खाती चोरीस गेली आहेत. विकसक आणि वापरकर्त्यांसाठी खरा धोका
खात्याचा ताबा घेतल्यानंतर लगेचचहल्लेखोर विनाविलंब खासगी रिपॉझिटरीजची सामग्री डाउनलोड करण्यास पुढे जातात, ज्यांना जोर देत आहे ते संस्थेच्या खाती आणि इतर सहयोगींचे मालमत्ता आहेत.
गिटहबच्या सुरक्षा अपघात प्रतिसाद संघ (एसआयआरटी) च्या म्हणण्यानुसार हे धोके आहेत
आक्रमणकर्त्याने गीटहब वापरकर्त्याच्या खात्याची क्रेडेन्शियल यशस्वीरित्या चोरली, तर वापरकर्त्याने त्यांचा संकेतशब्द बदलला तर प्रवेश सुरक्षित ठेवण्यासाठी ते त्वरीत वैयक्तिक गिटहब accessक्सेस टोकन तयार करू शकतात किंवा खात्यावर ओएथ अनुप्रयोगांना अधिकृत करु शकतात.
एसआयआरटीनुसार सॉफिश नावाची ही फिशिंग मोहीम, हे सर्व सक्रिय GitHub खात्यांना प्रभावित करू शकते.
खात्यांमध्ये प्रवेश करण्याचे मुख्य साधन म्हणजे ईमेल. मजकूरात समाविष्ट असलेल्या दुर्भावनायुक्त दुव्यावर क्लिक करण्यासाठी प्राप्तकर्त्यांना प्राप्त करण्यासाठी संदेश विविध युक्त्यांचा वापर करतात: काहीजण म्हणतात की अनधिकृत क्रियाकलाप आढळला, तर इतर रेपॉजिटरीमध्ये किंवा लक्ष्य वापरकर्त्याच्या खात्यावरील सेटिंग्जमध्ये बदलांचा उल्लेख करतात.
जे लोक फसवणूकीसाठी पडतात आणि त्यांची खाते क्रियाकलाप तपासण्यासाठी क्लिक करतात त्यानंतर त्यांना बनावट गिटहब लॉगिन पृष्ठावर पुनर्निर्देशित केले जाते जे त्यांचे क्रेडेन्शियल संग्रहित करतात आणि त्यांना आक्रमणकर्त्याद्वारे नियंत्रित सर्व्हरवर पाठवतात.
हल्लेखोरांनी वापरलेले बनावट पान आपल्याला रिअल टाइममध्ये द्वि-चरण प्रमाणीकरण कोड देखील मिळतील जर ते वेळ-आधारित वन-टाइम संकेतशब्द (टीटीपी) मोबाइल अ‍ॅप वापरत असतील तर पीडितांचे.
आतापर्यंतच्या एसआयआरटीसाठी हार्डवेअर-आधारित सुरक्षा कीद्वारे संरक्षित खाती या हल्ल्याला असुरक्षित नाहीत.
हल्ला या प्रकारे कार्य करतो
म्हणून आतापर्यंत ज्ञात आहे, या फिशिंग मोहिमेचे प्राधान्यग्रस्त बळी सध्या विविध देशांतील टेक कंपन्यांसाठी कार्यरत गीटहब वापरकर्ते कार्यरत आहेत आणि ते तसे सार्वजनिकरित्या ओळखल्या जाणार्‍या ईमेल पत्त्यांचा वापर करून करतात.
फिशिंग ईमेल पाठवण्यासाठी एसआणि एकतर पूर्वीची तडजोड केलेले ईमेल सर्व्हर वापरुन किंवा चोरी झालेल्या एपीआय क्रेडेंशियल्सच्या मदतीने कायदेशीर डोमेन वापरा कायदेशीर बल्क ईमेल सेवा प्रदात्यांकडून.
हल्लेखोर टीते यूआरएल शॉर्टनिंग सेवांचा देखील वापर करतात लँडिंग पृष्ठांची URL लपविण्यासाठी डिझाइन केलेले. ते शोध आणखी कठीण बनविण्यासाठी एकाधिक URL शॉर्टनिंग सर्व्हिसेस एकत्र साखळी करतात. याव्यतिरिक्त, तडजोड केलेल्या साइटवरील पीएचपी-आधारित पुनर्निर्देशनांचा वापर आढळला.
हल्ल्यापासून बचाव करण्याचे काही मार्ग
सुरक्षेसाठी जबाबदार असलेल्यांच्या सूचनेनुसार, आपल्याकडे गिटहब खाते असल्यास, आपण पुढील गोष्टी करणे आवश्यक आहे:
- संकेतशब्द बदला
- पुनर्प्राप्ती कोड दोन चरणात रीसेट करा.
- वैयक्तिक प्रवेश टोकनचे पुनरावलोकन करा.
- हार्डवेअर किंवा वेबऑथन प्रमाणीकरण वर स्विच करा.
- ब्राउझर-आधारित संकेतशब्द व्यवस्थापक वापरा. हे पिशिंग विरूद्ध काही प्रमाणात संरक्षण प्रदान करतात कारण त्यांना समजेल की हा पूर्वी भेट दिलेला दुवा नाही.
आणि नक्कीच, तो कधीही अपयशी ठरत नाही. आपल्याला ईमेलद्वारे पाठविलेल्या दुव्यावर कधीही क्लिक करू नका. पत्ता स्वहस्ते लिहा किंवा बुकमार्कमध्ये ठेवा.
असो, ही आश्चर्यकारक बातमी आहे. आम्ही सोशल नेटवर्कबद्दल बोलत नाही परंतु त्याच्या स्वतःच्या वर्णनानुसार एक साइट आहेः
गिट आवृत्ती नियंत्रण प्रणालीचा वापर करून प्रकल्प होस्ट करण्यासाठी एक सहयोगी सॉफ्टवेअर विकास मंच. कोड सार्वजनिकपणे संग्रहित केला आहे, जरी तो खाजगीरित्या देखील केला जाऊ शकतो ...
दुसर्‍या शब्दांत, त्याचे वापरकर्ते असे लोक आहेत जे आम्ही वापरत असलेले अनुप्रयोग तयार करतात आणि म्हणून ज्यांना सुरक्षितता वैशिष्ट्ये जोडावी लागतात. हा एक प्रकार पोलिस खात्यातून चोरी करण्यासारखा आहे.