У каждого пользователя интернета есть электронный ящик. В основном его используют для общения. Однако, что гораздо важнее – адрес e-mail используется при регистрации на интернет ресурсах. И если вдруг случится так, что ваш ящик взломают, то кракер (взломщик) получает доступ не только к вашей переписке, но и, что более важно – к вашим многочисленным аккаунтам в интернете. Поэтому основное правило – если вам надо зарегистрироваться на каком то сайте, не используйте свой постоянный ящик. Для каждого сайта не ленитесь завести отдельный.

Кстати распространенное заблуждение – что ящики взламывают хакеры. Это не так. Истинный хакер никогда не станет заниматься вредительством и уничтожением информации. Хакеры взламывают ради спортивного интереса. Взломав, они не меняют пароли и не уничтожают информацию, а просто сообщают владельцу мыла о уязвимости его ящика. Кракеры – это люди, сродни вандалам, которые пишут неприличные надписи на стенах. Они это делают либо что бы показать какие они крутые, либо ради материальной выгоды.

Важно уяснить одну простую вещь – на 100% защититься от взлома не возможно. Если опытный кракер поставил себе цель взломать ящик он это сделает. Что же вы можете сделать? Вы можете усложнить его задачу. Протянуть время. Возможно, он сдастся и отступит. Так или иначе без боя сдаваться нельзя.

1 шаг

Пароль.

Как ни странно, большинство пользователей (и еще больше – пользовательниц) просто не осознают всю важность этого термина. Очень частое заблуждение, что крутые кракеры ни когда не станут заниматься таким пыльным делом как подбор пароля. Очень сильно на людей влияет кинематограф. В кино кракер – это такой крутой чувак в кожаной куртке который два раза стукнув по клавишам взламывает любую систему. В реальной жизни все гораздо прозаичнее – кракер неделями изучает свою жертву, её привычки, интересы, место работы. Кракер знает, что очень часто пароль – это марка машины, название компании в которой работает человек и т.д. Часто кракер не использует ничего кроме метода подбора пароля. Поэтому самое основное правило – пароль ни одной буквой или цифрой не должен быть связан с вашей жизнью.

Самый легкий пароль – состоящий из цифр. Такой пароль взломать легче всего. Примитивные цифровые пароли типа 123456 можно взломать даже брутфорсом.

Буквенный пароль – Чуть более сложный и все же его тоже можно взломать

Самый безопасный тип пароля – смешанная абракадабра из латинских букв, цифр, специальных знаков, написанных строчными и заглавными буквами. В пароле должно быть не меньше 8 знаков, в идеале – 16 символов. Взлом такого пароля методом грубой силы часто вообще невозможен.

Пример – 4Р%Rк_+hgJ(#78Ge

Пароль для каждой системы должен быть уникален. Конечно очень удобно придумать себе один безопасный пароль, отработать его ввод до автоматизма, и пользоваться им везде и всюду. Но тем самым вы сводите свою защиту к нулю.

И еще – ни в коим случае не храните пароли в компьютере и тем более в памяти браузера. Да, конечно, это очень удобно, но риск не оправдан. Пароли вообще не должны храниться в электронном виде – их легко украсть трояном. Скиньте все ваши пароли в один текстовый файл, распечатайте его и удалите из памяти компьютера. Распечатанный листок храните только дома. Никуда не берите этот листок с собой.

2 шаг

Но есть куда более важная вещь – система восстановления забытого пароля. Узнав ваш ящик, кракер жмет на кнопку “Забыли пароль”. А там вопрос – “Кличка собаки?”. Кракер заходит на какой-нибудь сайт (к примеру ВКонтакте), находит фото жертвы с его собачкой и шлет ему сообщение “Ой какой песик!)) А как зовут?))”. Ну хозяин собаки ясное дело, гордо называет кличку своего питомца. Ну вот и все. Ваш ящик взломан.

Что бы этого не произошло, ставьте себе самый легкий вопрос типа “Дата моего рождения” и придумывайте себе еще один пароль по инструкции №1, не имеющий даже близко ничего общего с датой рождения. Во-первых вы повысите защиту, во вторых собьёте кракера с толку.

3 шаг

И так вот вы и обезопасили свой ящик. Но вы не обезопасили себя. Практика показывает, что чаще всего для взлома ящика не нужно ничего кроме как “вежливо” попросить сказать пароль. Этот метод взлома получил название Социальная инженерия (сокращенно СИ).

Принцип соц. инженерии состоит в правильном психологическом подходе к человеку, от которого вы собственно и собираетесь что-то получить. Самый примитивный способ такого подхода появился еще на заре инета. Пользователю посылали письмо якобы от администрации почтового сервиса с просьбой подтвердить свои персональные данные, и многие подтверждали. Даже сейчас в сети можно встретить примерно такие объявления:

“Здравствуйте, это Администрация сервиса http://бла-бла-бла.ru Мы проводим массовую (дальше идет свехсложное, непонятное слово) пользователей. Вам необходимо просто пройти по этой ссылке и ввести свои анкетные данные…”. Конечно очень многие уже на такую “халяву” не попадаются. Но фантазия человека безгранична. И способов соц. инженерии великое множество – советую просто вбить в поисковик “Социальная инженерия” и почитать об этом более подробно – об этом обязан знать каждый!

Защита – никогда не посылайте свои логин-пароль, в ответ на письма пришедшие от “администрации” какого-либо ресурса, где вы зарегистрированы (не зарегистрированы). А лучше вообще на них не отвечайте. Уж если сильно сомневаетесь, пошлите письмо администрации сервиса, а к письму приложите текст пришедшего вам письма (без пароля естественно), и только на тот e-mail, что указан на сервере. Помните главное правило – вводите ваши данные только в одном месте, на главной странице почтового сервера. Никогда не кликайте по ссылкам в письме, если у вас нет 100% доверия к его отправителю и содержимому. Лучше нажмите на ссылке правой кнопкой мыши, и выберете пункт “Сохранить объект как…” (для браузера Internet Explorer), а затем в офлайн просмотрите документ. Документы HTML, или попросту обычные Web странички, могут быть опасны при просмотре их онлайн.

Дополнение:
Особо популярная форма СИ – создание фейковых (ложных) страниц. Эти страницы обычно копируют страницу с формой ввода логина и пароля на каком либо сайте. Предположим пользователь видит объявление: “вот тут на youtube выложили прикольное видео, я долго ржал…”. Пользователь кликает на ссылку и попадает на ложную страницу, точь в точь копирующую сайт youtube.com. При этом адрес страницы отличается чаще всего незначительно (к примеру youtube.com и его фейковый сайт-близнец с адресом к примеру youtude.com) Но видео ему не доступно так как его просят авторизироваться. Пользователь, вводит свой логин и пароль от своего аккаунта на youtube.com, фейковый сайт записывает введенные данные и отсылает пользователя на настоящий сайт youtube.com где пользователь действительно может посмотреть видео.
Недавно с помощью этого способа каким – то умельцам удалось получить пароли от нескольких тысяч аккаунтов Вконтакте. Схема была проста – пользователь устанавливал приложение Вконтакте к себе на страницу и запустив его, ему открывалась страница якобы сайта вконтакте с просьбой повторно авторизироваться. Пользователь вводил пароль и терял неприкосновенность своего аккаунта.
бывает даже и так что пользователя заражают специальным вирусом-трояном который открывает ложные страницы авторизации, когда пользователь саморучно вводит правильный адрес сайта

Защита – авторизируясь на сайтах, внимательно проверяйте что адрес правильный, что в нем нет посторонних слов и знаков.

4 шаг

Кража cookie и сессии пользователя

Cookie (в переводе печенье) – это текстовые файлы хранящиеся на вашем компьютере в специальном месте, и содержащие какую-либо служебную информацию. Что нам надо знать о Cookie. Многие веб сервисы при заходе пользователя на их ресурс, пихают ему “печеньку” с его персональными данными. К примеру если вы в настройках на сервисе укажете выводить в таблице на странице 50 столбцов с данными, то эта информация запишется в Cookie, и при следующем заходе на этот сервис вам сразу покажут 50 столбцов. Но самое главное, прочитать данные из Cookie может только тот web сайт, который вам эту Cookie поставил. То есть куки поставленные на yandex.ru, не могут быть прочитаны рамблером, или каким-нибудь superhack.com. Теперь переходим к главному. Когда мы на сайте проходим авторизацию, при входе на свой почтовый ящик сервер вешает нам Cookie, куда записывает номер сессии пользователя, или гораздо реже зашифрованный пароль (обычно алгоритмом md5), или еще реже (иногда встречается на небольших и древних сервисах) – ваш пароль записанный в открытом виде. Просто бери и пользуйся! Зачем это надо? Просто в противном случае, при переходе с одной страницы на другую, нам пришлось бы каждый раз заново проходить авторизацию (вводить логин-пароль). А так сервер читает из Cookie нашу сессию и сравнивает с сессией назначенной авторизованному пользователю. Если все окей, вы читаете свою почту. Если с паролем к почте все ясно, то в чем его отличие от сессии. Сессия – это просто набор из цифр и букв случайно сгенерированных сервером (как бы временный пароль). Одна копия записана у вас в куках, другая хранится на сервере. Причем сессия имеет “время жизни” (от нескольких минут, до нескольких часов), которое зависит от настроек сервиса. По истечении этого времени, копия сессии пользователя расположенная на сервере удаляется. И сессия, записанная у пользователя окажется нерабочей (необходима новая авторизация). Вот пример сессии на почтовом сервисе rambler.ru:
http://mail.rambler.ru/Session/3112538-ru3lUHY9oFag9n79p4…
Теперь думаю суть ясна. Получив свежие пользовательские Cookie с какого-нибудь lаmer@yаndеx.ru или lаmer@mаil.ru, мы сможем без проблем попасть на чужой ящик, даже если пользователь уже давно вышел из него.

Пользователю посылается письмо в HTML формате, в которое вставляется специальный java-скрипт читающий содержание его Cookie и отсылающий эту информацию своему хозяину. Достаточно открыть такое письмо для просмотра в режиме online, и вы можете потерять свой ящик навсегда.

Но для взлома данный способ не пригоден, т.к. для получения сессии (Cookie) надо попасть в почтовый ящик. В реальной ситуации поступают так: JavaScript вставляется в само письмо, при этом письмо должно быть в HTML формате. Код выглядит как безобидная ссылка, но кликнув по ней ваши куки будут отправлены специальному скрипту, который их запишет и пошлет письмом кракеру (вариантов много). Чтобы заставить пользователя кликнуть ссылку, достаточно немного социальной инженерии.

Конечно данный код может фильтроваться сервером. Но ведь можно встроить скрипт в теги показа картинки. Пользователь увидит картинку, а хакер получит куки. Обычно такие скрипты пролетают на ура.

Защита. Вы замечали на вашем ящике кнопку “Выход”, “Exit” и т.д. А знаете зачем она нужна? Она закрывает вашу сессию! Да-да, именно ту сессию, о которой писалось выше. Закрыв ящик “как положено”, никто уже не сможет на него попасть без пароля, кража Cookie становится бесполезной. По возможности, никогда не читайте письма “онлайн”. Сохраните письма на комп, а уже затем, отключившись от Инета, читайте. В этом случае никакой встроенный скрипт и прочая гадость вам не страшны. И поосторожнее кликайте по ссылкам в письмах. Текст ссылки и ее истинное назначение могут быть разными!

5 шаг

Протроянивание компьютера

Если у злоумышленника есть физический доступ к нужному компьютеру, то он 100% может получить не только пароль к вашей почте, но и следить за всеми действиями пользователя на нем (очень актуально для офисов, компьютерных клубов и интернет кафе). При отсутствии такого доступа можно послать шпиона прямо в аттаче к письму. Конечно запускать неизвестный EXE-шник вряд ли кто станет. А что если использовать уже знакомый нам способ социальной инженерии? Сделаем иконку у программы как у текстового документы или JPEG рисунка, переименовать файл в Foto.jpg или в Info.txt, заполнить спец-поля при компилировании и запихнуть в архив. При этом данное вложение не должно быть неожиданным. К примеру вы на сайте знакомств познакомились с девушкой. После нескольких дней переписки, она вряд ли заподозрит неладное в очередной фотке. Да и что к тому же, при запуске программы мешает показать ей настоящее фото (склеенное с программой), запустить шпиона, а затем удалить его тело из запущенного файла. При грамотном подходе не спасет и антивирус. Шансы злоумышленника вырастут во много раз.

Защита. Непонятно почему, но многие пользователи считают главным гарантом своей безопасности в сети – антивирус. Никакой антивирус с самой свежей базой не спасет вас от грамотно написанной и хорошо упакованной шпионской программы, которая ему незнакома. Трояны типа Смерть Ламера и используют ламеры. Человек опытный напишет свое, или в крайнем случае найдет приватный софт. В данном случае, вам намного полезнее фаервол. Если вы еще не знаете что это такое, закройте инет соединение, и не выходите в сеть пока его себе не поставите. Конечно опытный взломщик его может обойти, но от главных проблем он вас спасет. Выходите в сеть только под учетной записью с ограниченными правами. Для инета вам админские права не нужны, а вот многим шпионам для своей маскировки даже очень. Многие без них даже не запустятся. И ставьте свежие заплатки от MICROSOFT. Не запускайте чужие аттачи к письмам. Помните, что программу можно замаскировать под картинку, или даже текстовый документ. Никогда не используйте файлы присланные вам незнакомыми людьми.

6 шаг

Взлом почтового сервера

Не секрет, что в любых крупных проектах всегда существуют баги. Вопрос только в том, насколько они опасны, и как оперативно администрация сервиса следит за безопасностью. Что уж говорить о почтовых сервисах средней руки, когда в свое время ошибки в безопасности были найдены даже на гигантах вроде MAIL.RU. Самые распространенные ошибки состоят в возможности инжектировать в исполняемые скрипты своего кода, приводящие к тому или иному действию. К примеру, с помощью найденной ошибки, хакер может изменить код HTML документа на сервере, встроив свой.

Защита. От взлома почтового сервера вас не защитит ничто. Советую выбирать для своей почты лишь крупные почтовые службы. Они своевременно обновляют свой серверный софт и следят за безопасностью почтовой системы. Сейчас многие пользуются почтой через Web интерфейс. Да не спорю – это “красиво и удобно”. Но! Забирать почту по протоколам POP3 или IMAP с помощью того же The Bat – быстрее, и главное безопаснее.

7 шаг

Программы для взлома почты

Единственными представителями программ подобного рода являются т.н. брутфорсеры паролей. Брутфорс (от англ. brute force) – программа основанная на методе «грубой силы» Такая программа простым перебором или по словарю пытается авторизоваться на почтовом сервере. Принцип их работы предельно прост. Если пароль не подходит, программа пробует новый пароль, и так до тех пор, пока верный пароль не будет найден. Тем не менее, реальность далека от идеала. Скорость перебора целиком зависит от ширины канала. При выделенке вас ожидает огромный Интернет трафик. Если пароль сложный, и не менее 6 символов, цена в случае удачи окажется слишком высокой. Плюс к этому сейчас практически везде используются системы, делающие брутфорс паролей невозможным в принципе. После нескольких неудачных попыток авторизации, вас просто пошлют лесом. Такие программы используют лишь в тех случаях, когда подбираемый пароль хотя бы частично известен, или вы примерно знаете его длину и содержание.

Защита от брутфорса – описана в инструкции №1.