Wir sind große Fans von Passwort-Managern hier bei Means I / O. Sie erleichtern Ihnen das Leben, beschleunigen viele Prozesse und verbessern Ihre Sicherheit. Sie konzentrieren aber auch Ihre vertraulichen Passwortinformationen an einem Ort – und das kann gefährlich sein.
Beispiel: OneLogin, der Hersteller einer Single Sign-On- und Kennwortverwaltungsanwendung auf Unternehmensebene, wurde am 31. Mai 2017 gehackt. Und das sind wirklich schlechte Nachrichten. Hier ist, was passiert ist, was Sie tun müssen und einige Lektionen, die wir lernen können.
Was ist bei OneLogin passiert?
Folgendes sagt OneLogin:
„… Ein Bedrohungsakteur hat einen unserer AWS-Schlüssel verwendet, um von einem Zwischenhost mit einem anderen kleineren Dienstanbieter in den USA über eine API auf unsere AWS-Plattform zuzugreifen …“
Was bedeutet das? Dies bedeutet, dass jemand die vertraulichen Daten von OneLogin angezeigt hat. Während die meisten dieser Daten verschlüsselt sind, glaubt OneLogin, dass die Angreifer zumindest einen Teil der Daten entschlüsseln konnten.
Sobald OneLogin-Techniker das Eindringen bemerkten, schalteten sie die infiltrierten Systeme aus. Leider wurde berichtet, dass sie das Eindringen erst sieben Stunden nach dem Start entdeckten. Das Durchsuchen sensibler Daten dauert lange.
Auf welche Art von Daten hätten Angreifer Zugriff?
„Der Bedrohungsakteur konnte auf Datenbanktabellen zugreifen, die Informationen zu Benutzern, Anwendungen und verschiedenen Schlüsseltypen enthielten.“
Es ist zwar unklar, welchen Umfang diese Liste genau hat, aber es handelt sich sicherlich um eine Menge sensibler Dinge.
Zu ihrer Ehre war OneLogin sehr direkt in Bezug auf diesen Vorfall. Sie behielten eine aktualisierter Blog-Beitrag auf ihrer Website mit Kunden über den Angriff kommuniziert und Ratschläge gegeben, was als nächstes zu tun ist. Bisher gibt es keinen Hinweis darauf, dass das Unternehmen das Geschehene verdeckt hat. (Obwohl sie möglicherweise die Schwere des Angriffs etwas minimiert haben.)
Was sollten Sie tun, wenn Sie OneLogin verwenden?
OneLogin veröffentlichte schnell einen Leitfaden, mit dem Benutzer die Auswirkungen des Angriffs abschwächen können (Das Register auch hat diese Liste veröffentlicht für Nichtkunden). Die Liste enthält Kennwortrücksetzungen, neue Authentifizierungstoken, das Entfernen sicherer Notizen und eine Reihe anderer technischer Vorschläge auf Administratorebene.
Wenn Sie ein OneLogin-Benutzer sind, ist das offensichtliche Verfahren viel einfacher: Ändern Sie Ihre Kennwörter und aktualisieren Sie Ihre Authentifizierungstoken. Es wird eine Weile dauern, aber es lohnt sich, da es eine sehr gute Chance gibt, dass jemand Zugriff auf alles hat, was Sie in Ihrem Konto gespeichert haben. Ändern Sie Ihr Hauptkennwort, ändern Sie die Kennwörter für Ihre Apps und ändern Sie alles, was Sie in OneLogin gespeichert haben.
Und werfen Sie Ihre sicheren Notizen weg.
Ja, es wird saugen. Aber es wird viel weniger scheiße sein, als wenn einer Ihrer wichtigen Dienste von einem Angreifer übernommen wird (oder, noch schlimmer, als Lösegeld gehalten wird).
Was wir aus dem OneLogin-Hack lernen können
Die erste und beunruhigendste Lektion ist klar: Single Sign-On- (SSO) und Passwortverwaltungsunternehmen sind nicht immun gegen Sicherheitsbedrohungen. Diese Unternehmen wissen, dass Sicherheit ein wichtiges Thema für ihre Kunden ist und dass sie über eine große Menge wertvoller Informationen verfügen.
Aber es passieren schlimme Dinge. In diesem Fall stammten die API-Schlüssel, mit denen Angreifer auf OneLogin zugreifen konnten, „von einem Zwischenhost mit einem anderen kleineren Dienstanbieter in den USA“. Trotz des Engagements von OneLogin für die Sicherheit haben die Mängel eines anderen Unternehmens möglicherweise Angreifer hereingelassen.
Leider ist kein Geschäft hackfest. Passwortverwaltung und Single Sign-On-Unternehmen nehmen die Sicherheit sehr ernst und leisten im Allgemeinen gute Arbeit. Aber es musste passieren.
Was können Sie in Zukunft tun? Im Folgenden sind einige Punkte aufgeführt, die Sie bei der Verwendung dieser Art von Diensten beachten sollten.
Alles an einem Ort aufzubewahren ist eine schlechte Idee
Natürlich behalten Sie Ihre Passwörter in Ihrer Passwort-Manager-App. Aber sollte es das Repository von sein alle Ihrer sensiblen Informationen? Vielleicht nicht.
Es ist einfach, die sicheren Notizen von LastPass zu verwenden, um beispielsweise Ihre Bankkontodaten oder Ihr WLAN-Passwort zu Hause zu speichern. Wenn dieser Dienst jedoch gehackt wird, sehen Sie sich noch mehr Probleme an. Ihre Kreditkarteninformationen sind möglicherweise bereits gespeichert. Wenn Sie jedoch einige weitere Details hinzufügen, wird der Identitätsdiebstahl viel einfacher.
Erwägen Sie die Verwendung eines anderen verschlüsselten Dienstes, der keine Informationen in der Cloud speichert, z SplashIDoder einfach einen Ordner auf Ihrem Computer verschlüsseln und mit einem Kennwort schützen. Es ist etwas weniger praktisch, aber es könnte den Schwierigkeitsgrad erheblich verringern, wenn es verletzt wird.
Überlegen Sie zweimal, ob Sie sich einmal anmelden möchten
Single Sign-On ist großartig, da es eine Menge Zeit spart und Ihre Passwörter auf ein Minimum beschränkt. OpenID, Login mit Anmeldeinformationen für soziale Netzwerke und andere ähnliche Methoden sind sehr beliebt. (Um ganz ehrlich zu sein, benutze ich sie selbst.)
Am sichersten ist es, einfach für jede Site ein Konto mit Ihrer E-Mail-Adresse zu eröffnen. Wenn Sie einen Passwort-Manager verwenden, ist dies einfach. Nicht so einfach wie OAuth oder eine ähnliche Ein-Klick-Verbindung, aber definitiv sicherer.
Um fair zu sein, empfehlen einige Leute die Verwendung von Single Sign-On als Sicherheitspraxis. Wägen Sie Ihre Optionen ab.
Verwenden Sie die Zwei-Faktor-Authentifizierung für wichtige Dienste
Wir haben unzählige Male über die Zwei-Faktor-Authentifizierung gesprochen, aber wenn Sie neu darin sind, lesen Sie alles darüber und finden Sie heraus, welche Dienste sie verwenden können. Dann schalten Sie es ein.
Für welche Dienste sollten Sie die Zwei-Faktor-Authentifizierung verwenden? Kurz gesagt, so viel du kannst. Ihre wichtigsten Dienste wie E-Mail, Banking und Cloud-Speicher sollten auf jeden Fall geschützt werden. Alles andere ist ein Bonus. Mach es jetzt.
Bleib spezifisch
OneLogin-Benutzer haben eine schwierige Lektion gelernt: Kein Dienst ist 100% sicher. Es war ein besonders schwieriger Weg, diese Lektion zu lernen, aber auf lange Sicht könnte es das Beste sein. Wenn Sie ein OneLogin-Benutzer sind, sollten Sie darauf achten, die Titel aufzunehmen. Wenn nicht, können Sie sich glücklich schätzen und Maßnahmen ergreifen, um sicherzustellen, dass Ihnen dies nicht passiert.
Wurden Sie vom OneLogin-Hack betroffen? Denken Sie deshalb zweimal über Passwort-Manager oder Single-Sign-On-Apps nach? Teilen Sie Ihre Meinung in den Kommentaren unten!
Unterstützen Sie unsere Arbeit ❤️
Wenn Ihnen dieser Artikel gefallen hat, können Sie uns mit einem Trinkgeld unterstützen, damit wir weiterhin großartige Inhalte veröffentlichen können.
