Evernote hack cho thấy mật khẩu không đủ tốt

Evernote tiết lộ vào cuối tuần rằng nạn nhân của việc vi phạm dữ liệu, gửi email cho người dùng và đăng thông báo trên trang web của mình rằng kẻ tấn công đã có quyền truy cập vào tên người dùng, địa chỉ email và mật khẩu được mã hóa liên quan với các tài khoản Evernote. Để đề phòng, Evernote đã buộc tất cả 50 triệu người dùng phải đặt lại mật khẩu của họ. Đó là một bước tiến tốt, nhưng nó không thực sự đủ tốt để Evernote đang đẩy nhanh kế hoạch triển khai xác thực hai yếu tố.

Người dùng Evernote đã bị khóa tài khoản của họ cho đến khi họ đổi mật khẩu.

Evernote wasn ' t ban đầu được thiết kế như một dịch vụ kinh doanh, ít nhất là cho đến tháng 12 phát hành Evernote for Business. Evernote chủ yếu là một công cụ ghi chú và tổ chức tương tự như OneNote của Microsoft. Evernote cung cấp một loạt các dịch vụ, bao gồm Evernote Food, Evernote Peek, Skitch, Penultimate và các công cụ hoặc ứng dụng dựa trên web khác trên nhiều hệ điều hành và nền tảng di động. Khả năng truy cập và đồng bộ dữ liệu trên một loạt các thiết bị làm cho nó hấp dẫn như một công cụ kinh doanh.

Theo bản chất của nó, Evernote là một ví dụ điển hình về một dịch vụ mà bạn lưu trữ cả dữ liệu cá nhân và chuyên nghiệp. Giống như bất kỳ dịch vụ dựa trên đám mây nào, nó đi kèm với một số rủi ro vốn có. Bất cứ lúc nào bạn đặt dữ liệu nghiệp vụ trong thông tin đặc biệt nhạy cảm với đám mây như tên hoặc địa chỉ của khách hàng, chi tiết ngân hàng hoặc tài chính hoặc nghiên cứu của công ty sở hữu độc quyền - bạn tin tưởng nhà cung cấp bảo vệ nó. Tuy nhiên, trước hết, bạn vẫn phải chịu trách nhiệm về những gì xảy ra với dữ liệu của mình.

[Đọc thêm: Các dịch vụ truyền hình trực tuyến tốt nhất]

Một mật khẩu để cai trị tất cả?

Theo sau cuộc tấn công, Evernote đã đẩy một bản cập nhật phần mềm

Evernote tuyên bố rằng dữ liệu mật khẩu được kẻ tấn công bắt giữ đã được mã hóa, nhưng nó vẫn khiến tất cả người dùng chọn mật khẩu mới, chỉ trong trường hợp. Như một cơ quan an ninh có uy tín Brian Krebs đã lưu ý trong bài đăng trên blog của mình về vi phạm Evernote, các thuật toán băm và muối tiêu chuẩn được các nhà cung cấp sử dụng để mã hóa dữ liệu mật khẩu cung cấp sự bảo vệ tầm thường có thể bị bẻ khóa một cách dễ dàng.

mật khẩu hoặc mật khẩu và để đảm bảo rằng bạn không sử dụng cùng một mật khẩu cho nhiều dịch vụ. Khi bạn làm vậy, việc xâm phạm dữ liệu tại một nhà cung cấp có thể làm lộ mật khẩu của bạn, sau đó có thể cho phép kẻ tấn công truy cập vào tất cả tài khoản của bạn thay vì hạn chế thiệt hại cho tài khoản bị vi phạm.

Tất nhiên, nhớ hàng chục hoặc hàng trăm mật khẩu là một nhiệm vụ của Herculean, đặc biệt nếu bạn sử dụng mật khẩu mạnh, phức tạp. Đồng nghiệp PCWorld của tôi John Mello đề xuất một vài tùy chọn để đơn giản hóa việc quản lý mật khẩu, chẳng hạn như OneID, KeePass và RoboForm.

Bài học thực sự về hack Evernote là mật khẩu không cung cấp khả năng bảo vệ rất tốt cho dữ liệu của bạn. Mật khẩu duy nhất phức tạp mang lại sự bảo vệ tốt hơn so với sử dụng tên của chó hoặc không có mật khẩu, nhưng cuối cùng tất cả các mật khẩu đều có thể bị bẻ khóa hoặc đoán, đủ thời gian và công sức.

Di chuyển đến xác thực đa yếu tố

, Evernote đang tham gia Facebook, Dropbox, Microsoft SkyDrive, PayPal, Gmail và danh sách ngày càng tăng các nhà cung cấp dịch vụ trực tuyến bằng cách áp dụng xác thực hai yếu tố.

Ví dụ về xác thực hai yếu tố tại nơi làm việc

Xác thực đa yếu tố cung cấp thêm một lớp bảo vệ để bảo vệ dữ liệu của bạn. Ví dụ, xác thực dựa trên điện thoại có thể tăng cường bảo mật đáng kể. Có thể bạn đã gặp phải lời nhắc xác thực dựa trên điện thoại khi bạn cố gắng đăng nhập vào trang web của ngân hàng từ một thiết bị mà bạn thường không sử dụng.

Với xác thực dựa trên điện thoại, mã ngẫu nhiên hoặc một lần được gửi với điện thoại di động và phải được nhập vào ngoài tên người dùng và mật khẩu chuẩn. Một số giải pháp sử dụng ứng dụng dành cho thiết bị di động để tạo mã PIN một lần. Dù bằng cách nào, để kẻ tấn công truy cập vào tài khoản họ sẽ phải bẻ khóa mật khẩu của bạn và sở hữu điện thoại di động của bạn.

Có nhiều tùy chọn khác ngoài xác thực dựa trên điện thoại, chẳng hạn như thẻ truy cập, thẻ thông minh và xác minh email. Phương pháp chính xác rất khác nhau. Bất kể việc triển khai thực hiện, xác thực hai yếu tố cung cấp thêm một lớp bảo vệ, và Evernote nên được khen thưởng để cung cấp nó.