Niebezpiecznik

A tak przynajmniej twierdzi @blanket, któremu właśnie nieznani sprawcy gwizdnęli konto. Zhackowany użytkownik Twittera wskazuje na mechanizm resetu hasła jako element, w którym znajduje się “poważna dziura”. I nie chodzi tu o historię sprzed paru tygodni, kiedy do ataku na Twittera wykorzystano konta ofiary na Amazonie i w Apple.

Twitterowy mechanizm resetu hasła

Daniel Dennis Jones, kryjący się pod nickiem @blanket twierdzi, że Twitter limituje próby logowania się (podawania hasła) biorąc pod uwagę jedynie adres IP atakującego, a nie konto, na które próbuje się on nieustannie logować. W związku z tym atak wykonywany przez serwery proxy może trwać w nieskończoność.

Twitter

Jones chciałby, aby Twitter blokował dane konto po zdefiniowanej próbie nieudanych logowań. Albo, żeby Twitter wprowadził dwuskładnikowe uwierzytelnienie, tak jak zrobił to Facebook i Google.

Stosuj CAPTCHA

O ile całkowita blokada konto po kilku (-nastu, -dziesięciu) próbach to dość kiepski pomysł, bo dowcipnisie zaraz zaczną dla żartu blokować konta swoim “wrogom”, to stosowany np. przez Google mechanizm CAPTHA mimo, że ma swoje wady to jest już wyraźnym utrudnieniem, które potrafi powstrzymać automatyczne narzędzia do ataków brute-force.

My radzimy jednak naszym “ćwierkającym” czytelnikom upewnić się, że hasło do konta nie jest krótkie i słownikowe — to lepsze podejście niż zdawanie się na to, czy Twitter wprowadzi w końcu dodatkowe zabezpieczenia, czy nie. Jeśli chcecie wskazówek, co do silnego hasła, to pamiętajcie — hasła są jak majtki.

PS. Powyższą wskazówkę zastosujcie zwłaszcza, jeśli jesteście właścicielem fajnego usnername na Twitterze. Konto @blanket wraz z innymi interesującymi kontami Twittera, zaraz po przejęciu zostało wystawione przez atakujących na sprzedaż.