美司法部揭秘俄黑客竊取雅虎5億帳戶資料全過(guò)程

BI中文站 3月16日?qǐng)?bào)道

美國(guó)司法部周三表示，俄羅斯間諜和黑客聯(lián)手侵入了成千上萬(wàn)個(gè)雅虎用戶帳戶。

這次泄密事件牽連到超過(guò)5億的雅虎帳戶，它也因此成為史上最大規(guī)模的黑客攻擊事件。

黑客們是如何做到的？

簡(jiǎn)單地說(shuō)，黑客們先設(shè)法弄到了一個(gè)包含雅虎帳戶的用戶名、加密密碼和其他信息的秘密目錄。然后，他們利用這些數(shù)據(jù)來(lái)欺騙雅虎的服務(wù)器，讓服務(wù)器以為這些用戶的網(wǎng)絡(luò)瀏覽器已經(jīng)登錄了雅虎的網(wǎng)絡(luò)服務(wù)。這種做法很巧妙，因?yàn)檫@樣他們就不需要去解密用戶帳戶的密碼。

這個(gè)過(guò)程需要針對(duì)特定帳戶和創(chuàng)建虛假網(wǎng)絡(luò)憑證以模擬該用戶。在黑客世界里，這是最常規(guī)的攻擊方式，但是它有效。

司法部在聲明中詳細(xì)解釋了這種攻擊方式，這也是FBI調(diào)查的結(jié)果。

雅虎的黃頁(yè)和虛假cookie

司法部稱，最關(guān)鍵的步驟是臭名昭著的黑客埃里克西·埃里克西維奇·比蘭（Alexsey Alexseyevich Belan）侵入并偷走了至少一部分雅虎用戶數(shù)據(jù)庫(kù)的拷貝。

我們可以將這個(gè)數(shù)據(jù)庫(kù)看作是所有雅虎用戶的一種中央目錄或者黃頁(yè)。它包含了用戶名、加密密碼和其他個(gè)人信息。這個(gè)數(shù)據(jù)庫(kù)是一個(gè)本不該對(duì)外公開的秘密文件。

司法部在起訴書中寫到：“這個(gè)數(shù)據(jù)庫(kù)包括了手工創(chuàng)建或偽造帳戶認(rèn)證cookie所需的信息?！?/p>

偽造cookie意味著什么？

當(dāng)你訪問(wèn)某個(gè)網(wǎng)站的時(shí)候，它會(huì)在你的電腦中留下一個(gè)被稱作cookie的小文件。這個(gè)小文件中保存著關(guān)于你的特定信息，包括你是否登錄了該網(wǎng)站以及你是用哪個(gè)帳戶登錄的。

當(dāng)你再次訪問(wèn)這個(gè)網(wǎng)站的時(shí)候，網(wǎng)站就會(huì)檢查你的電腦中是否存在合法cookie以及它是否過(guò)期了。

很多網(wǎng)站允許用戶將cookie的有效期設(shè)置成30天，只要cookie沒(méi)有過(guò)期，他們使用同一臺(tái)電腦和瀏覽器再次訪問(wèn)網(wǎng)站時(shí)就無(wú)需輸入密碼。網(wǎng)站會(huì)讀取電腦中的cookie并且認(rèn)為用戶已經(jīng)登錄了。

黑客們就是利用他們偷走的目錄信息拿到了雅虎的cookie秘方。這意味著他們可以隨心所欲地為任何帳戶創(chuàng)建虛假cookie。這些虛假cookie可以欺騙雅虎郵件等服務(wù)，讓服務(wù)器認(rèn)為這些用戶已經(jīng)登錄了。就這樣，黑客們根本不需要破解和輸入密碼就能進(jìn)入任何雅虎用戶帳戶。

司法部稱，黑客們利用這種方法侵入了6500個(gè)特定用戶帳戶，其中有很多是俄羅斯記者和政治家的帳戶。黑客們還利用3000萬(wàn)帳戶發(fā)動(dòng)了一次垃圾郵件攻擊，目的可能是為了賺到更多的錢。

影響范圍如此之大的黑客入侵事件是非常罕見(jiàn)的，更令人驚訝的是，黑客根本不知道你的密碼是什么。（編譯/林靖東）