Lekket? Kontrollere og rydde opp

Modul 2: Passord og innlogging · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du selv sjekke om opplysningene dine finnes i et lekkasje, reagere i riktig rekkefølge på en lekkasje, og få tilbake og rydde opp i en kapret konto.

Nøkkelbegreper: Have I Been Pwned, k-anonymitet, varsler om lekkasjer, tilbakekalle økter, øktinformasjonskapsel, gjenopprettingsopplysninger, videresendingsregler

Hvordan du hører at noe har lekket

Ofte hører du det ikke. Et lekket passord kan ligge i en combo-liste i måneder før noen prøver det. Vær derfor oppmerksom på disse signalene:

• En tjeneste sender e-post om at det har vært et datalekkasje. Sjekk først om e-posten er ekte (modul 3): gå selv til nettstedet i stedet for å klikke på lenken.
• Du får en innloggingskode eller godkjenningsmelding du ikke selv har bedt om (leksjon 2.3).
• Du ser en melding om "ny innlogging fra en ukjent enhet".
• Kunder eller kolleger får merkelige e-poster "fra deg", eller du mangler e-post som faktisk er sendt.
• Passordbehandleren din advarer om at et passord finnes i en lekkasje.
• Du kan plutselig ikke logge inn lenger, eller gjenopprettingsopplysningene dine er endret.

Sjekk selv med Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) er en kjent, gratis tjeneste som samler opplysninger fra offentlig kjente datalekkasjer. Du kan søke selv på e-postadressen din. Da ser du i hvilke lekkasjer adressen finnes, og hvilke typer opplysninger som var med: bare e-postadresser, eller også passord, navn, telefonnumre eller adresser. Med funksjonen "Notify me" får du e-post hvis adressen din dukker opp i en ny lekkasje.

Gjør dette selv, på nettstedet til tjenesten. I dette kurset ber vi deg aldri om å fylle inn e-postadressen eller passordet ditt noe sted.

Det finnes også en del som heter Pwned Passwords, som passordbehandlere og nettsteder bruker til å sjekke om et passord noen gang har blitt lekket. Dette fungerer med k-anonymitet: passordet ditt blir på din egen enhet gjort om til en hash (et slags fingeravtrykk), og bare de første 5 tegnene av den sendes til tjenesten. Tjenesten sender tilbake alle kjente hasher som starter med de 5 tegnene, og din egen enhet sjekker om den fullstendige hashen din er blant dem. Tjenesten får altså aldri se passordet ditt, og vet ikke engang hvilken av de hundrevis av returnerte hashene som er din.

To viktige forbehold:

• Ikke å stå på listen betyr ikke at du er trygg. En lekkasje som (ennå) ikke er kjent, står ikke der. Infostealere (leksjon 1.4) stjeler også passord som aldri havner i en publisert lekkasje.
• Å stå på listen betyr ikke at alt er tapt. Se på hvilke opplysninger som lekket, og når. Et passord du ikke har brukt på årevis, er ikke noe problem; et passord du fortsatt bruker overalt, er det.

Hva du gjør først etter en lekkasje

Rekkefølgen har betydning. Den viktigste regelen: først e-postkontoen din, for med e-postkontoen din kan en angriper via "glemt passord" overta nesten alle de andre kontoene dine.

Hvorfor du bør tilbakekalle økter

Når du logger inn, får nettleseren din en øktinformasjonskapsel: en slags midlertidig adgangsbevis, slik at du ikke trenger å logge inn på nytt for hvert klikk. Den som har denne informasjonskapselen, er logget inn. Uten passord og uten andre trinn.

Nettopp det er det infostealere stjeler: ikke bare passordene dine, men også informasjonskapslene dine. Og en angriper som har logget inn med passordet ditt, har også en økt. Hvis du bare endrer passordet, fortsetter den økten å fungere hos enkelte tjenester.

Derfor bør du, etter en lekkasje eller en merkelig innlogging, sjekke oversikten over aktive økter eller enheter hos hver viktig tjeneste, og logge ut alt du ikke kjenner igjen, eller alt bortsett fra enheten du jobber på nå. Hos mange tjenester logger et nytt passord deg også ut overalt; sjekk det likevel.

Videresendingsregelen som bakdør

Et tilfelle slik det ofte skjer. Regnskapsføreren hos Bakkerij Example klikker på en phishing-e-post og fyller inn e-postpassordet sitt. Angriperen logger inn på factuur@example.com og gjør tre ting:

1. Han lager en regel: all e-post med "faktura", "betaling" eller "IBAN" i emnefeltet videresendes til en ekstern adresse på leverancier-administratie.example og legges deretter i papirkurven.
2. Han setter sitt eget telefonnummer som gjenopprettingsnummer.
3. Han logger ut igjen.

Regnskapsføreren merker at noe er galt og endrer passordet sitt. Løst, tenker hun. Men regelen fortsetter å fungere. Angriperen leser med på hver faktura i flere uker, og en dag får en kunde en "endret" faktura med en annen IBAN (leksjon 1.2). Via gjenopprettingsnummeret kan han også hente tilbake kontoen.

Sjekk derfor alltid dette hos en e-postkonto:

• regler og filtre: særlig regler som videresender eller sletter;
• videresending i innstillingene til e-postkontoen og i kontrollpanelet for webhotellet;
• automatiske svar du ikke har laget selv;
• app-passord og tilkoblede apper: fjern det du ikke kjenner igjen;
• gjenopprettingsopplysninger og listen over enheter i tofaktorautentiseringen.

Hvis en konto virkelig er kapret

Kommer du ikke inn lenger, bruk da bare den offisielle gjenopprettingsprosedyren til tjenesten. Du finner den ved å gå selv til nettstedet, ikke via en lenke fra en e-post eller en søkeannonse. Vær forsiktig med "gjenopprettingshjelp" du selv kontakter på sosiale medier, eller som kontakter deg: det er ofte svindlere som vil ramme deg en gang til.

Deretter:

• gjør trinn 3 til og med 8 fra tabellen ovenfor;
• lag nye gjenopprettingskoder og skru på et sterkere andre trinn (leksjon 2.3 og 2.4);
• meld svindel eller phishing til politiet (https://www.politiet.no/) og anmeld forholdet hvis det har oppstått skade;
• skriv ned hva som har skjedd og når. Gjaldt det kundeopplysninger, kan det være et datalekkasje (leksjon 8.2).

I praksis: slik ser det ut

I WebOké-miljøet ser du i Min side under Innloggingsopplysninger kortet Aktive økter, med nettleser, system, IP-adresse og tidspunkt for hver økt. Du kan logge ut én økt eller logge ut overalt bortsett fra enheten du jobber på nå. I Nextcloud finner du under Security oversikten Enheter og økter, der du også kan tilbakekalle en enhet eller fjernslette den. Videresending og filtre for en e-postkonto finner du i kontrollpanelet for webhotellet og i webmailen. Hos andre leverandører fungerer det på tilsvarende måte: se etter "økter", "enheter", "sikkerhet" eller "nylig aktivitet".

Oppsummering

• Sjekk selv på haveibeenpwned.com om e-postadressen din finnes i en kjent lekkasje; Pwned Passwords bruker k-anonymitet (bare de første 5 tegnene av hashen sendes ut).
• Å ikke stå på listen er ikke det samme som å være trygg.
• Etter en lekkasje: først e-postkontoen, deretter tilbakekall økter og sjekk tofaktorautentisering og gjenopprettingsopplysninger.
• En passordendring fjerner ikke videresendingsregler, app-passord eller stjålne økter.
• En kapret konto gjenoppretter du bare via den offisielle veien til tjenesten.

Quiz

Oppgave

Oppgave D2.5: Din egen lekksjekk og oppryddingsrunde. Sjekk selv på haveibeenpwned.com de forretningsmessige e-postadressene dine og skru på "Notify me". Se på e-postkontoen din og de viktigste kontoene dine: aktive økter, videresendingsregler, app-passord og gjenopprettingsopplysninger, og rydd opp i det du ikke kjenner igjen. Kryss av i sjekklisten og svar på refleksjonsspørsmålene. Du fyller ikke inn e-postadresse eller passord i kurset.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på tilsvarende måte.

• WebOké-veiledning 3.6: Vise og logge ut aktive økter
• Nextcloud-veiledning 3.6: Vise, avslå eller fjernslette enheter og økter
• DirectAdmin-veiledning 3.7: Sikre passord og hva du gjør hvis et passord er lekket
• Innlogging på Nextcloud fungerer ikke: passord, kode eller bremsing
• E-postkonto kapret eller spam fra din adresse: slik rydder du opp
• Have I Been Pwned (søk selv på e-postadressen din): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (engelsk, forklaring av k-anonymitet): https://haveibeenpwned.com/Passwords
• Politiet (meld svindel og phishing): https://www.politiet.no/