نشت اطلاعات چیست

از یک نشت دقیقا چه چیزی بیرون می آید

تصور رایج این است که در یک نشت اطلاعات رمزها لخت و خوانا بیرون می ریزند. معمولا این طور نیست، و واقعیتش هم آرامش بخش نیست.

چیزی که تقریبا همیشه بیرون می آید سه تاست: نشانی ایمیل، نام کاربری، و هش رمز. هش یک رشته بی معنی است که از رمز ساخته می شود و راه برگشت مستقیمی ندارد؛ سرویس رمز شما را ذخیره نمی کند، همین رشته را ذخیره می کند تا دفعه بعد بتواند مقایسه کند. کنار این سه تا هرچه آن سرویس نگه داشته بوده هم می آید: شماره تلفن، آدرس، تاریخ تولد، سابقه سفارش، آی پی، و گاهی متن پیام ها.

هش داشتن یعنی مهاجم رمز شما را ندارد. یعنی رمز شما را هنوز ندارد. اگر رمز کوتاه یا پرتکرار باشد، حدس زدن رشته ای که همان هش را می سازد کار چند ثانیه است، و اگر آن سرویس از روش قدیمی برای ساختن هش استفاده کرده باشد، حتی رمزهای بهتر هم دوام نمی آورند.

و بخش دومی هست که کمتر گفته می شود: داده های یک نشت با نشت های دیگر ترکیب می شوند. ایمیل از یکی، شماره تلفن از دیگری، آدرس از سومی. هیچ کدام به تنهایی مهم نیستند و کنار هم یک پرونده اند، و همان پرونده است که یک پیام کلاهبرداری را از یک متن عمومی به پیامی تبدیل می کند که نام شما و شماره سفارش شما را می داند.

چرا رمزی که سه سال پیش لو رفت هنوز خطرناک است

یک نشت وقتی منتشر می شود دیگر تمام نمی شود. تازه شروع می شود، و آنچه بعدش می آید هیچ وقت خبر نمی سازد.

مهم ترین چیزی که با آن داده می کنند اسم دارد: پر کردن اعتبارنامه. جفت های ایمیل و رمز را برمی دارند و به صورت خودکار روی ده ها سرویس دیگر امتحان می کنند. هیچ چیزی حدس زده نمی شود و هیچ آسیب پذیری ای لازم نیست؛ اگر شما همان رمز را جای دیگری هم گذاشته باشید، آن حساب هم باز می شود. توجه کنید که سرویس دوم هیچ کار اشتباهی نکرده. پلی که این دو را به هم وصل می کند، تکرار رمز است و بس.

دومین چیز کندتر است و به همان اندازه واقعی: هش ها با گذشت زمان دوباره شکسته می شوند. سخت افزار هر سال ارزان تر و سریع تر می شود، پس رمزی که در سال ۲۰۱۵ شکستنش گران بود، امروز نیست. یعنی داده یک نشت قدیمی به مرور ارزشمندتر می شود، نه کم ارزش تر.

و سومی همان است که در بخش قبل گفتیم: داده ترکیب می شود و به فیشینگ هدفمند تبدیل می شود. پیامی که می داند شما از کدام فروشگاه خرید کرده اید و مبلغش چقدر بوده، از هر هشدار عمومی درباره کلاهبرداری قوی تر است.

پس سوال درست بعد از شنیدن خبر یک نشت این نیست که آن شرکت چقدر بد عمل کرده. این است که همان رمز کجاهای دیگر هم هست.

چطور بفهمیم رمز ما لو رفته، بدون اینکه رمز را جایی بفرستیم

سرویسی هست به نام Have I Been Pwned که مجموعه ای از داده های نشت شده را جمع کرده و اجازه می دهد بپرسید ایمیل یا رمز شما در آنها هست یا نه. اولین واکنش هر آدم عاقلی به بخش دومش این است که تایپ کردن رمز در یک سایت برای اینکه بفهمی لو رفته یا نه، دیوانگی است. کاملا درست است، و کاری که انجام می شود این نیست.

روشش این طور کار می کند. رمز روی دستگاه خود شما به یک هش تبدیل می شود؛ تا اینجا هیچ چیزی از کامپیوتر شما بیرون نرفته. بعد فقط پنج حرف اول آن هش فرستاده می شود. سرویس در جواب، همه هش های لو رفته ای را که با همان پنج حرف شروع می شوند برمی گرداند، و تطبیق نهایی روی دستگاه خودتان انجام می شود.

در ۷ سپتامبر ۲۰۲۶ همین را اجرا کردیم. برای یکی از پرتکرارترین رمزهای دنیا، سرویس ۱۹۷۸ سطر برگرداند. یعنی حتی کسی که آن درخواست را ببیند، فقط می داند رمز مورد نظر یکی از آن ۱۹۷۸ تاست و نمی داند کدام؛ خود رمز هیچ وقت از دستگاه بیرون نرفت.

و جوابی که برای همان رمز برگشت، عددی است که ارزش نگاه کردن دارد. رشته «password» در مجموعه رمزهای لو رفته ۵۲٬۳۷۲٬۴۲۷ بار دیده شده. رشته «123456» ۲۱۰٬۴۶۱٬۲۰۸ بار. اینها تعداد آدم ها نیست، تعداد دفعاتی است که آن رمز در نشت های جمع آوری شده ظاهر شده، و همین برای فهمیدن یک چیز کافی است: هر فهرست حدسی که یک مهاجم استفاده می کند با همین ها شروع می شود.

یک نکته درباره جواب منفی. اگر رمزی پیدا نشد، معنی اش این است که در داده ای که این سرویس دارد نیست. معنی اش این نیست که رمز خوبی است و معنی اش این نیست که هیچ وقت لو نرفته؛ نشتی که هنوز عمومی نشده، در هیچ فهرستی نیست.

بعد از یک نشت چه کار کنیم، به همین ترتیب

واکنش اول بیشتر آدم ها عوض کردن رمز همان سرویسی است که نشت کرده. لازم است و کافی نیست، و مهم تر اینکه آسان ترین قدم است، پس معمولا تنها قدمی است که برداشته می شود.

ترتیبی که واقعا کار می کند چهار قدم دارد.

قدم اول همان است: رمز سرویس نشت کرده را عوض کنید. قدم دوم کار اصلی است و بیشترین وقت را می برد: هر جای دیگری که همان رمز یا شبیهش را گذاشته اید عوض کنید. اینجاست که ماجرا از یک حساب به ده حساب می رسد و اینجاست که بیشتر آدم ها خسته می شوند و رها می کنند.

قدم سوم تایید دو مرحله ای است و از حساب ایمیل شروع می شود، نه از حساب بانکی. دلیلش این است که ایمیل کلید اصلی است: دکمه «رمزم را فراموش کردم» هر سرویس دیگری به همان صندوق می رسد، پس کسی که ایمیل شما را داشته باشد بقیه را هم بازیابی می کند و اصلا لازم نیست رمزشان را بداند.

قدم چهارم صبر است. چند هفته حواستان به پیام هایی باشد که با اطلاعات درست شروع می شوند و بعد چیزی می خواهند؛ دقیقا همان چیزی که در بخش اول گفتیم داده ترکیب شده تولید می کند.

و یک کاری که نکنید، چون شایع است و بی فایده: عوض کردن رمز به نسخه ای از همان رمز. رمزی که آخرش یک عدد اضافه شده، در برابر همان فهرست همان جفت ها هیچ محافظتی نمی سازد؛ آن فهرست ها همین الگو را هم امتحان می کنند.

چرا رمز یکتا یک فاجعه را به یک دردسر تبدیل می کند

همه چیزی که تا اینجا خواندید به یک نتیجه می رسد و آن نتیجه یک جمله است: اگر رمز هر سرویس فقط مال همان سرویس باشد، نشت آن سرویس فقط همان یک حساب را باز می کند و کار شما یک بار عوض کردن رمز است. اگر رمزها تکرار شده باشند، همان نشت به تعداد سرویس هایی که آن رمز را داشتند حساب باز می کند.

تفاوت بین این دو حالت، تفاوت بین ده دقیقه و ده روز است، و هیچ ربطی به قوی بودن رمز ندارد. یک رمز بسیار قوی که در سه سرویس تکرار شده، وقتی یکی از آن سه تا نشت کند، از یک رمز ضعیف یکتا بدتر عمل می کند.

و حالا موضع، چون این همان جایی است که مردم گیر می کنند: بله، نگه داشتن رمزهای یکتا بدون یک مدیر رمز عملا ممکن نیست، و بله، مدیر رمز یعنی همه تخم مرغ ها در یک سبد. این ایراد واقعی است و ما آن را رد نمی کنیم. اما معامله را کامل ببینید: طرف دیگر معامله تکرار رمز است، که یعنی همه تخم مرغ ها در یک سبد که هر کدام از ده شرکت مختلف می توانند بشکنندش. سبد رمزنگاری شده ای که فقط با یک رمز اصلی و یک عامل دوم باز می شود، جای امن تری است، و این را به عنوان یک موضع می گوییم نه یک واقعیت خنثی.

مرحله بعدی این بحث، ساختن رمزی است که ارزش یکتا بودن را داشته باشد و روشن کردن عامل دوم؛ هر دو در درس های دیگر مسیر امنیت آمده اند.

و اگر سایتی دارید، این درس یک نیمه دیگر هم دارد. نشت اطلاعات برای شما فقط اتفاقی نیست که برای سرویس های دیگر می افتد؛ پایگاه داده خود شما هم همین ردیف های ایمیل و هش را دارد و همان قدر ارزش دارد. سخت کردن آن سمت ماجرا کاری است که ما زیر عنوان امنیت سایت انجام می دهیم.