Shopify فشل في منع اختراق كلمات المرور المعروفة

[HalhulTech]

كشف تقرير حديث أن مزود التجارة الإلكترونية Shopify يستخدم سياسات كلمات مرور ضعيفة بشكل خاص على الجزء المواجه للعميل من موقعه على الويب. وفقًا للتقرير ، تطلب Shopify's من عملائها استخدام كلمة مرور لا يقل طولها عن خمسة أحرف ولا تبدأ أو تنتهي بمسافة.​

وفقًا للتقرير ، قام باحثو Specops بتحليل قائمة بمليارات كلمات المرور التي تم اختراقها ووجدوا أن 99.7 ٪ من كلمات المرور هذه تلتزم بمتطلبات Shopify. في حين أن هذا لا يعني الإشارة إلى أن كلمات مرور العملاء Shopify قد تم اختراقها ، إلا أن حقيقة أن العديد من كلمات المرور المعروفة التي تم اختراقها تلتزم بمتطلبات الحد الأدنى من متطلبات كلمة المرور الخاصة بـ Shopify تؤكد المخاطر المرتبطة باستخدام كلمات مرور ضعيفة.

خطر كلمات المرور الضعيفة في Active Directory الخاص بك​

دراسة حديثة أجرتها أنظمة Hive صدى لمخاطر استخدام كلمات مرور ضعيفة. تبحث الدراسة في مقدار الوقت المطلوب لإجبار كلمات المرور على الاختراق بأطوال مختلفة وبمستويات متفاوتة من التعقيد. وفقًا لمخطط معلومات Hive Systems ، يمكن اختراق كلمة المرور المكونة من خمسة أحرف على الفور ، بغض النظر عن درجة التعقيد. نظرًا للسهولة التي يمكن بها اختراق كلمات المرور الأقصر باستخدام القوة الغاشمة ، يجب أن تطلب المؤسسات بشكل مثالي كلمات مرور معقدة لا يقل طولها عن 12 حرفًا.

حتى إذا كنت ستضع جانباً الآثار الأمنية المرتبطة باستخدام كلمة مرور مكونة من خمسة أحرف ، فهناك مشكلة محتملة أكبر - الامتثال التنظيمي.

من المغري التفكير في الامتثال التنظيمي على أنه نوع من الأشياء التي يجب على الشركات الكبيرة فقط أن تقلق بشأنها. على هذا النحو ، قد يكون العديد من البائعين الصغار والمستقلين الذين يفتحون حسابات Shopify غير مدركين بسعادة للمتطلبات التنظيمية المرتبطة بالقيام بذلك. ومع ذلك ، تتطلب صناعة بطاقات الدفع من أي شركة تقبل مدفوعات بطاقات الائتمان الالتزام بمعايير أمان PCI الرسمية .

تجنب متطلبات PCI من خلال نظام دفع تابع لجهة خارجية​

أحد الأشياء اللطيفة حول استخدام Shopify أو منصة تجارة إلكترونية مماثلة هو أن تجار التجزئة لا يتعين عليهم تشغيل بوابات بطاقات الدفع الخاصة بهم. بدلاً من ذلك ، Shopify يتعامل مع معالجة المعاملات نيابة عن عملائهم. هذا الاستعانة بمصادر خارجية لعملية الدفع يحمي أصحاب الأعمال التجارية الإلكترونية من العديد من متطلبات PCI.

على سبيل المثال ، تتطلب معايير PCI من التجار حماية بيانات حامل البطاقة المخزنة. ومع ذلك ، عندما تقوم شركة التجارة الإلكترونية بالاستعانة بمصادر خارجية لمعالجة الدفع الخاصة بها ، فلن تمتلك عادةً بيانات بطاقة ائتمان العميل. على هذا النحو ، يمكن لصاحب العمل أن يتجنب بشكل فعال مطلب حماية بيانات حامل البطاقة إذا لم يكن يمتلك هذه البيانات في المقام الأول.

ومع ذلك ، فإن أحد متطلبات PCI التي قد تكون أكثر إشكالية ، هو شرط تحديد ومصادقة الوصول إلى مكونات النظام (المتطلب 8). على الرغم من أن معايير أمان PCI لا تحدد طول كلمة المرور المطلوبة ، فإن الدليل المرجعي السريع لـ PCI DSS ينص في الصفحة 19 على أنه "يجب أن يكون لكل مستخدم كلمة مرور قوية للمصادقة." بالنظر إلى هذا البيان ، سيكون من الصعب على بائع التجزئة في التجارة الإلكترونية تبرير استخدام كلمة مرور مكونة من خمسة أحرف.

ابدأ في تعزيز أمن تكنولوجيا المعلومات داخليًا​

هذا ، بالطبع ، يثير السؤال حول ما يمكن لشركات التجارة الإلكترونية القيام به لتحسين أمان كلمات المرور بشكل عام. ربما تكون التوصية الأكثر أهمية هي إدراك أن الحد الأدنى من متطلبات كلمة المرور المرتبطة ببوابة التجارة الإلكترونية قد يكون غير كافٍ. من وجهة نظر الأمان والامتثال ، يُنصح عادةً باستخدام كلمة مرور أطول وأكثر تعقيدًا من الحد الأدنى المطلوب.

الشيء الآخر الذي يجب على تجار التجزئة في التجارة الإلكترونية القيام به هو إلقاء نظرة جادة على ما يمكن فعله لتحسين أمان كلمة المرور على شبكاتهم الخاصة. هذا صحيح بشكل خاص إذا تم تخزين أي بيانات عميل أو معالجتها على شبكتك. وفقًا لدراسة أجريت عام 2019 ، تغلق 60٪ من الشركات الصغيرة في غضون 6 أشهر من تعرضها للاختراق. على هذا النحو ، من المهم للغاية أن تفعل ما في وسعك لمنع وقوع حادث أمني وجزء كبير من ذلك يتضمن التأكد من أن كلمات المرور الخاصة بك آمنة.

يحتوي نظام التشغيل Windows على إعدادات نهج الحساب التي يمكنها التحكم في طول كلمة المرور ومتطلبات التعقيد. في حين أن عناصر التحكم هذه مهمة بلا شك ، يمكن أن تساعد سياسة Specops Password Policy المؤسسات في إنشاء سياسات كلمات مرور أقوى مما هو ممكن باستخدام الأدوات الأصلية المضمنة في Windows فقط.

تتمثل إحدى الإمكانات الأكثر إقناعًا التي توفرها سياسة Specops Password Policy في قدرتها على مقارنة كلمات المرور المستخدمة داخل مؤسسة ما بقاعدة بيانات تضم مليارات من كلمات المرور التي يُعرف أنها تعرضت للاختراق. بهذه الطريقة ، إذا تم العثور على مستخدم يستخدم كلمة مرور مخترقة ، فيمكن تغيير كلمة المرور قبل أن تصبح مشكلة.

تسمح سياسة Specops Password Policy أيضًا للمؤسسات بإنشاء قائمة بالكلمات أو العبارات المحظورة التي لا ينبغي تضمينها في كلمات المرور. على سبيل المثال ، قد ينشئ المسؤول سياسة لمنع المستخدمين من استخدام اسم شركتك كجزء من كلمة المرور الخاصة بهم.

بالإضافة إلى ذلك ، يمكن للمؤسسات استخدام Specops Password Policy لحظر التقنيات التي يستخدمها المستخدمون بشكل شائع لتجنب متطلبات تعقيد كلمة المرور. قد يشمل ذلك استخدام أحرف متكررة متتالية (مثل 99999) أو استبدال الأحرف برموز متشابهة المظهر (مثل $ بدلاً من s).

خلاصة القول هي أن Specops Password Policy يمكن أن تساعد مؤسستك في إنشاء سياسة كلمة مرور تكون أكثر أمانًا إلى حد كبير ، مما يزيد من صعوبة وصول مجرمي الإنترنت إلى حسابات المستخدم الخاصة بك. يمكنك اختبار سياسة Specops Password في Active Directory مجانًا في أي وقت .

المصدر: thehackernews