Czy Disney Plus został zhakowany? Tak i nie

To nie jest (całkowicie) wina Disneya, jeśli w pierwszej kolejności ponownie używasz słabego hasła. Ale Disney też ma jeszcze trochę do zrobienia.

Powtarzaj za mną: „Nie użyję hasła więcej niż raz. Użyję pewnego rodzaju menedżera haseł, aby stworzyć silne, niepowtarzalne hasła. I jeśli to możliwe, użyję jakiejś formy uwierzytelniania dwuskładnikowego ”.

Powinieneś powtórzyć sobie tę mantrę, gdy budzisz się rano i tuż przed pójściem spać. Robienie tego podczas noszenia czapki z folii aluminiowej jest opcjonalne. Ale dobra higiena haseł nie jest.

To jest tak ewidentne jak zawsze niedawny ZDNet raport na kontach Disney + zostały „zhakowane” lub przynajmniej niektórzy klienci szybko tracą dostęp do swoich kont Disney +, a poświadczenia są sprzedawane online.

Problem objawia się na wiele sposobów, a wina leży nie tylko po stronie Disneya, ale także naszej.

Problem 1: Ponowne używanie haseł

Jednym z najczęstszych sposobów „zhakowania” konta - tak naprawdę „przejęcia” jest lepsze określenie - polega na ponownym wykorzystaniu nazwy użytkownika i hasła, które wyciekły już gdzie indziej.

Powiedzmy, że mój adres e-mail - [email protected] - i hasło - TomRocks123 - był używany z jednym z 359 milionów kont MySpace, które padły ofiarą włamania w 2008 roku. Zakapturzeni „hakerzy” będą używać tej nazwy użytkownika i hasła we wszystkich innych usługach, aby sprawdzić, czy działają. Nazywa się to wypychaniem poświadczeń i stanowi duży problem.

Dlatego naruszenia danych to poważna sprawa, nawet jeśli w danym momencie wydaje się, że nic złego się nie dzieje. Może będziesz leniwy i ponownie użyjesz tego hasła w innym miejscu.

Problem 2: Udostępnianie hasła

Udostępnianie danych logowania do usługi przesyłania strumieniowego jest tak stare, jak same usługi przesyłania strumieniowego. Możesz winić milenialsów za opuszczenie gniazda z hasłami do Netflix swoich rodziców, ale prosty fakt jest taki, że wszyscy to zrobiliśmy w pewnym momencie.

W chwili pisania tego tekstu Disney toleruje udostępnianie haseł do Disney +. I to nie jest niezwykłe podejście. Gdy zaczniesz traktować swoich użytkowników jako użytkowników, musisz ponieść koszty techniczne, finansowe i polityczne przestępcy, a do tej pory tacy jak Netflix i HBO, również w dużej mierze pozwolili na swobodne udostępnianie haseł niepowstrzymany. (Piractwo na dużą skalę to jednak inna sprawa.

Nie oznacza to, że ten rodzaj leseferyzmu, z którego dziś korzystamy, będzie kontynuowany - ostatnio mówiło się o rozprawieniu się z Netflixem i innymi.

Ale jest też prosty powód, aby nie udostępniać swojego loginu do Disney + - nigdy nie wiesz, co ta inna osoba (lub osoby) zrobi z nim. Jeśli dwie osoby znają Twoje hasło, nie jest to już tajemnicą.

Problem 3: Rzeczywiste złośliwe oprogramowanie

Wspomnę o tym tutaj, ponieważ wspomniano o tym w oryginalnym artykule ZDNet. Tak, jest całkiem prawdopodobne, że komputery niektórych ludzi są zainfekowane jakimś złośliwym oprogramowaniem lub keyloggerem, który przechwytuje ich dane uwierzytelniające Disney +.

A jeśli to prawda, to prawdopodobnie najmniejszy z ich problemów.

Rozwiązanie: menedżerowie haseł, 2FA i Disney robią coś innego

Jest kilka rzeczy, które możesz zrobić, aby zabezpieczyć swoje dane uwierzytelniające Disney +. To także rzeczy, które powinieneś robić tak czy inaczej, nieważne Disney +.

Rozwiązanie 1: Użyj jakiegoś menedżera haseł

Najlepsze hasło to takie, którego w rzeczywistości nie znasz. My wysoko zalecam użycie jakiegoś menedżera haseł. Większość nowoczesnych przeglądarek ma je wbudowane, co jest dobre. Istnieje wiele świetnych aplikacji do zarządzania hasłami, które są jeszcze lepsze i oferują większą elastyczność.

Istota, jeśli nigdy wcześniej go nie używałeś, jest taka, że ​​menedżer haseł pamięta wszystkie twoje hasła, a następnie blokujesz menedżera haseł za pomocą hasła głównego, które znasz tylko ty. Wtedy możesz używać szalonych, unikalnych haseł do wszystkich swoich usług i unikać używania hasła więcej niż jeden raz.

Najlepsi menedżerowie haseł

Bonus: Zobacz, gdzie wyciekły już Twoje dane uwierzytelniające

Jestem wielkim fanem Czy zostałem oszukany, bezpłatna usługa, która bada naruszenia bezpieczeństwa danych i umożliwia ich przeszukiwanie w celu ustalenia, czy Twoja nazwa użytkownika lub hasło zostały ujawnione w konkretnym przypadku. (Ale robi to w taki sposób HIBP nie ujawnia również Twoich danych uwierzytelniających. Ta część jest ważna do zapamiętania.)

W rzeczywistości, karmić HIBP Twój adres email i powiadomi Cię, gdy Twój adres e-mail pojawi się w nowym wycieku. Bardzo fajny.

Rozwiązanie 2: Disney może zatrzymać udostępnianie hasła

Trzeba przyznać, że nie będzie to popularna opcja wśród użytkowników. (Szczególnie ci, którzy obecnie się włóczą). I tak niekoniecznie jest to świetny pomysł.

Ale Disney bardzo dobrze mógłby wdrożyć system, w którym można być zalogowanym tylko na jednym urządzeniu naraz, aby oglądać Disney +. Lub może zablokować geograficznie rzeczy na małym obszarze - choć wymagałoby to od Disneya, aby wiedział, gdzie się znajdujesz z dużą dokładnością, a to nie jest dobra rzecz dla prywatności.

Jeszcze jeden problem: Disney + pozwala na posiadanie aż siedmiu profili na jednym koncie. Moja 9-latka nie potrzebuje własnego konta Disney +. (Głównie dlatego, że nie wyszkoliłem jej jeszcze w zakresie menedżerów haseł). Więc jej tablet jest zalogowany przy użyciu naszych rodzinnych danych uwierzytelniających.

Rozwiązanie 3: Uwierzytelnianie dwuskładnikowe

Wciąż powtarzam, jak nieszczęśliwa jestem, że Disney + nie oferuje żadnego rodzaju uwierzytelniania dwuskładnikowego - to znaczy, aby zalogować się, wystarczy podać adres e-mail i hasło.

Nie jest wymagana żadna dodatkowa metoda. Brak wiadomości tekstowej. (Co i tak nie jest wcale takie wspaniałe, jeśli chodzi o funkcję bezpieczeństwa). Brak tokena opartego na czasie z aplikacji takiej jak Authy. Brak opcji sprzętowego uniwersalnego klucza dwuskładnikowego. (Tak, to byłaby przesada, ale zasada jest taka sama).

Dlaczego nie ma 2FA dla Disney +? To jeszcze jedna rzecz, którą ktoś musi utrzymywać - zarówno ze strony Disneya, jak i bólu z tyłu użytkownika. To zwykły kompromis między bezpieczeństwem a użytecznością.

Dlaczego Ty i Twoja rodzina powinniście używać 2FA

Podsumowując: chodzi o hasła

Gdybym miał wybrać jedną rzecz, na której chciałbym się skupić, byłyby to hasła użytkowników.

My, jako użytkownicy, musimy dbać o maksymalne bezpieczeństwo naszych haseł. (Stosunkowo) najłatwiej to zrobić za pomocą pewnego rodzaju menedżera haseł - a następnie uważaj, aby nigdy nie używać ponownie hasła.

Tak, to nakłada na nas ciężar i ma w sobie ślad zawstydzenia ofiary. Wolę jednak nazywać to odpowiedzialnym użytkownikiem.

Ale inną rzeczą, którą Disney mógłby (i powinien) zrobić, byłoby skorzystanie z takiej usługi Czy zostałem oszukany, który udostępnia interfejs API umożliwiający sprawdzenie, czy użytkownik próbuje się zarejestrować przy użyciu adresu e-mail i hasła, które zostały już przejęte. Więc gdybym próbował się zarejestrować [email protected] i TomRocks123 jako moje dane uwierzytelniające powiedziałoby: „Hej - to wyciekło podczas włamania do MySpace w 2008 roku, więc nie możesz go tutaj użyć”. (W rzeczywistości jest to coś, co Google już wbudowało w swoją przeglądarkę Chrome).

Myślę więc, że odpowiedzialność spada na obie strony. Musimy chronić nasze hasła. Ale Disney wciąż ma też trochę do zrobienia.