Hack Evernote menunjukkan bahawa kata laluan tidak cukup

Evernote mendedahkan pada hujung minggu bahawa ia adalah mangsa pelanggaran data, menghantar e-mel kepada pengguna dan menyiarkan notis di laman webnya yang penyerang telah mendapat akses kepada nama pengguna, alamat e-mel dan kata laluan yang disulitkan dengan akaun Evernote. Sebagai langkah berjaga-jaga, Evernote memaksa semua 50 juta pengguna untuk menetapkan semula kata laluan mereka. Itulah langkah yang baik, tetapi ia tidak benar-benar tidak baik-jadi Evernote mempercepatkan pelannya untuk melancarkan pengesahan dua faktor.

Pengguna Evernote terkunci dari akaun mereka sehingga mereka menukar kata laluan mereka.

Evernote wasn ' t yang asalnya direka sebagai perkhidmatan perniagaan, sekurang-kurangnya sehingga keluaran Disember Evernote for Business. Evernote adalah terutamanya alat pengambilan nota dan organisasi yang serupa dengan OneNote Microsoft. Evernote menyediakan pelbagai perkhidmatan termasuk Evernote Food, Evernote Peek, Skitch, Akhir dan lebih-sebagai alat atau aplikasi berasaskan Web merentasi pelbagai sistem operasi dan platform mudah alih. Keupayaan untuk mengakses dan menyegerakkan data merentasi pelbagai peranti menjadikannya menarik sebagai alat perniagaan.

Dengan sifatnya, Evernote adalah contoh utama dari perkhidmatan di mana anda menyimpan data peribadi dan profesional. Seperti mana-mana perkhidmatan berasaskan awan, ia datang dengan beberapa risiko yang wujud. Sebarang masa anda meletakkan data perniagaan di awan-terutamanya maklumat sensitif seperti nama pelanggan atau alamat, butiran perbankan atau kewangan, atau penyelidikan syarikat proprietari-anda mempercayai vendor untuk melindunginya. Namun, kaveat besar adalah bahawa anda masih bertanggungjawab sepenuhnya atas apa yang terjadi pada data anda.

[Bacaan lanjut: Perkhidmatan streaming TV terbaik]

Suatu kata laluan untuk memerintah mereka semua?

Berikutan serangan itu, Evernote mendesak kemas kini perisian.

Evernote mendakwa bahawa data kata laluan yang ditangkap oleh penyerang telah disulitkan, tetapi ia masih membuat semua pengguna memilih kata laluan baru, sekiranya berlaku. Seperti yang dijelaskan oleh pihak berkuasa keselamatan Brian Krebs dalam catatan blognya mengenai pelanggaran Evernote, standard algoritma hashing dan salting yang digunakan oleh vendor untuk menyulitkan data kata laluan menawarkan perlindungan remeh yang dapat retak dengan mudah. ​​

Satu penyelesaian adalah menggunakan lebih kuat kata laluan atau kata kunci laluan, dan untuk memastikan bahawa anda tidak menggunakan kata laluan yang sama untuk lebih daripada satu perkhidmatan. Apabila anda melakukan, pelanggaran data pada satu vendor boleh mendedahkan kata laluan anda, yang kemudiannya membolehkan penyerang untuk mengakses semua akaun anda daripada membatasi kerosakan pada seseorang yang dilanggar.

Sudah tentu, mengingat puluhan atau ratusan Kata laluan adalah sedikit tugas Herculean-terutamanya jika anda menggunakan kata laluan yang kuat dan kompleks. Pegawai PCWorld saya John Mello mencadangkan beberapa pilihan untuk memudahkan pengurusan kata laluan, seperti OneID, KeePass, dan RoboForm.

Pelajaran sebenar hack Evernote, bagaimanapun, adalah kata laluan yang tidak menawarkan perlindungan yang sangat baik untuk data anda. Kata laluan yang unik yang kompleks menawarkan perlindungan yang lebih baik daripada menggunakan nama anjing anda atau tiada kata laluan sama sekali, tetapi akhirnya semua kata laluan boleh retak atau ditebak, diberi masa dan usaha yang mencukupi.

Beralih ke pengesahan multi-faktor

Dengan itu fikiran, Evernote menyertai Facebook, Dropbox, Microsoft SkyDrive, PayPal, Gmail, dan senarai pembekal perkhidmatan dalam talian yang semakin berkembang dengan menggunakan pengesahan dua faktor.

Contoh pengesahan dua faktor di tempat kerja Pengesahan pelbagai faktor menyediakan perlindungan tambahan untuk melindungi data anda. Pengesahan berasaskan telefon, misalnya, secara mendadak boleh meningkatkan keselamatan. Anda mungkin mengalami tanda terima untuk pengesahan berasaskan telefon apabila anda cuba log masuk ke laman web bank dari peranti yang tidak biasa anda gunakan.

Dengan pengesahan berasaskan telefon, kod rawak atau satu kali dihantar ke telefon bimbit, dan mesti dimasukkan sebagai tambahan kepada nama pengguna dan kata laluan yang standard. Beberapa penyelesaian menggunakan aplikasi mudah alih untuk menghasilkan PIN satu kali. Sama ada cara, supaya penyerang mengakses akaun itu, mereka mesti memecahkan kata laluan anda dan memiliki telefon bimbit anda.

Terdapat banyak pilihan lain selain pengesahan berasaskan telefon, seperti token akses, smartcards dan pengesahan e-mel. Kaedah yang tepat berbeza-beza. Tidak kira pelaksanaannya, pengesahan dua faktor menyediakan perlindungan tambahan, dan Evernote patut dipuji kerana menawarkannya.