கணினி கள்ளர்கள் உங்கள் கடவுச்சொல்லை எப்படி உடைக்கிறார்கள் என்பதைப் புரிந்துகொள்வது இன்று அடிப்படை டிஜிட்டல் பாதுகாப்பு அறிவாகிவிட்டது. பலர் “என் கணக்கில் என்ன இருக்கிறது?” என்று நினைத்தாலும், தாக்குபவர்கள் சிறிய தவறுகளையே இலக்காகக் கொள்கிறார்கள். பலவீனமான கடவுச்சொல், ஒரே கடவுச்சொல்லை பல தளங்களில் பயன்படுத்துதல், போலி உள்நுழைவு பக்கங்களில் விவரங்களை உள்ளிடுதல் போன்றவை கணக்கை ஆபத்துக்குள் தள்ளும். இந்த வழிகாட்டியில், பொதுவாக பயன்படுத்தப்படும் ஆறு தாக்கு முறைகளையும், அவற்றுக்கு எதிராக எடுக்க வேண்டிய நடைமுறை பாதுகாப்பு நடவடிக்கைகளையும் தெளிவாகப் பார்ப்போம்.
கணினி கள்ளர்கள் உங்கள் கடவுச்சொல்லை எப்படி உடைக்கிறார்கள் என்பதை ஏன் புரிந்துகொள்ள வேண்டும்?
கணினி கள்ளர்கள் உங்கள் கடவுச்சொல்லை எப்படி உடைக்கிறார்கள் என்பதை அறிந்தால், பயமுறுத்தும் கதைகளை அல்ல, உண்மையான ஆபத்துகளை அடையாளம் காண முடியும். பாதுகாப்பு என்பது மிகவும் சிக்கலான கருவிகள் மட்டுமல்ல; தவறான பழக்கங்களைச் சரிசெய்வதும் அதில் முக்கியம். தாக்குதல் முறை தெரிந்தால், தற்காப்பு முடிவுகள் இன்னும் துல்லியமாக இருக்கும்.
பலர் கடவுச்சொல் பாதுகாப்பை “நீளமான ஒன்றை அமைத்தால் போதும்” என்று எண்ணுகிறார்கள். ஆனால் தாக்குபவர்கள் மனித பழக்கவழக்கங்களையும் தொழில்நுட்ப கருவிகளையும் இணைத்து செயல்படுகின்றனர். அதனால், கடவுச்சொல் உடைப்பு எப்போதும் வெறும் கணக்கீட்டு வலிமையால் மட்டும் நடைபெறாது; ஏமாற்றல், மீண்டும் பயன்படுத்தப்பட்ட தரவுகள், தொற்று மென்பொருள், மற்றும் கணிக்கக்கூடிய சொற்கள் ஆகியவற்றின் கூட்டுத் தாக்கமாகவும் இருக்கும்.
1. ஊகித்தல் மற்றும் பலவீனமான கடவுச்சொற்களைச் சோதித்தல்
எளிய ஊகித்தல் இன்னும் செயல்படும் தாக்கு முறையாகவே உள்ளது. ஏனெனில் பலர் தங்களின் பெயர், பிறந்தநாள், மொபைல் எண் பகுதி, “123456” போன்ற எளிய அமைப்புகள், அல்லது பொதுவாக பயன்படுத்தப்படும் சொற்களை கடவுச்சொல்லாக வைத்திருப்பார்கள். தாக்குபவர்கள் முதலில் இதுபோன்ற எளிய வாய்ப்புகளைச் சோதிப்பார்கள்.
இந்த முறை தொழில்நுட்ப ரீதியாக மிகவும் எளிதானதாக இருந்தாலும், வெற்றியின் காரணம் மனித பழக்கம் தான். ஒருவர் சமூக வலைத்தளங்களில் பகிரும் தகவல்கள், செல்லப்பிராணி பெயர், பிறந்த தேதி, குடும்ப உறுப்பினர் பெயர் போன்றவை தாக்குபவர்களுக்கு ஊகிக்க உதவும். குறிப்பாக பாதுகாப்பு கேள்விகளும் இதே தனிப்பட்ட தகவல்களை அடிப்படையாகக் கொண்டிருந்தால், ஆபத்து அதிகரிக்கும்.
இந்த முறையின் பொதுவான குறியீடுகள்
- தனிப்பட்ட தகவல் அடிப்படையிலான கடவுச்சொற்கள்
- வரிசை எண்கள் அல்லது மீளும் எழுத்துகள்
- “password” போன்ற பொதுச் சொற்கள்
- மிகக் குறுகிய கடவுச்சொற்கள்
- பல தளங்களில் ஒரே உள்நுழைவு விவரங்கள்
2. Brute force தாக்குதல்
Brute force தாக்குதலில், தாக்குபவர் கடவுச்சொல்லை ஊகிப்பதற்குப் பதிலாக எண்ணற்ற சாத்தியமான சேர்க்கைகளை முறையாக முயற்சிக்கிறார். இது நேரம் எடுத்துக்கொள்ளலாம்; ஆனால் கடவுச்சொல் குறுகியதாகவும் எளிய அமைப்பாகவும் இருந்தால், இந்த முறை ஆபத்தாக மாறும். அதனால் நீளம் மற்றும் சீரற்ற தன்மை இரண்டும் முக்கியம்.
இந்த முறையின் நோக்கம், “சரியான பதில் கிடைக்கும் வரை தொடர்ந்தே முயற்சி செய்” என்பதுதான். எல்லா கணக்குகளிலும் இது சம அளவில் செயல்படாது; ஏனெனில் சில சேவைகள் முயற்சிகளின் எண்ணிக்கையை கட்டுப்படுத்தும். ஆனால் கடவுச்சொல் நீளம் குறைவு, எழுத்து பல்வகைமை இல்லை, அல்லது பாதுகாப்பு கட்டுப்பாடுகள் பலவீனமாக இருந்தால், brute force அணுகுமுறை இன்னும் ஆபத்தானதாக இருக்கும்.
Brute force-ஐ எதிர்க்க உதவும் பழக்கங்கள்
- நீளமான கடவுச்சொல் அல்லது passphrase பயன்படுத்துதல்
- பெரிய/சிறிய எழுத்து, எண்கள், குறியீடுகள் சேர்த்தல்
- உள்நுழைவு முயற்சி வரம்புகளைக் கொண்ட சேவைகளைப் பயன்படுத்துதல்
- இரு-அங்கச் சான்றிதழ் செயல்படுத்துதல்
3. Dictionary attack
Dictionary attack என்பது brute force-இன் குறிவைத்த வடிவம். இதில் தாக்குபவர் எல்லா சேர்க்கைகளையும் முயற்சிப்பதில்லை; அதற்கு பதிலாக பொதுவாக பயன்படுத்தப்படும் சொற்கள், சொற்றொடர்கள், சின்ன மாற்றங்களுடன் வரும் கடவுச்சொற்கள் போன்றவற்றின் பட்டியலைப் பயன்படுத்துகிறார். இதனால் தாக்குதல் வேகமாகவும் செயல்திறனாகவும் அமையும்.
உதாரணமாக, மக்கள் முழு சீரற்ற கடவுச்சொல்லை அமைப்பதற்குப் பதிலாக ஒரு சொல் + ஆண்டு, அல்லது பெயர் + எண் போன்ற அமைப்புகளைப் பயன்படுத்துவதுண்டு. தாக்குபவர்கள் இதை நன்றாக அறிந்திருப்பார்கள். அதனால் “Tamil2026” அல்லது “Office@123” போன்ற தோற்றத்தில் சிக்கலாகத் தெரியும் கடவுச்சொற்களும் பலவீனமாக இருக்கலாம்.
Dictionary attack ஏன் ஆபத்தானது?
இந்த முறை மனிதர்கள் “நினைவில் வைக்க எளிதாக” உருவாக்கும் வடிவமைப்புகளையே இலக்காகக் கொள்கிறது. அதாவது, நீங்கள் கடவுச்சொல்லை சுலபமாக நினைவில் வைத்துக்கொள்ள உருவாக்கிய மாதிரி, தாக்குபவரின் பட்டியலிலும் இருக்கக்கூடும். தனித்துவம் இல்லாத எந்த மாதிரியும் பாதுகாப்பைக் குறைக்கும்.
4. Phishing மூலம் கடவுச்சொல் திருட்டு
Phishing என்பது கடவுச்சொல்லை “உடைக்கும்” முறை அல்ல; அதை நேரடியாக உங்களிடமிருந்து பறிக்கும் ஏமாற்று முறை. போலி மின்னஞ்சல், போலி உள்நுழைவு பக்கம், அவசர எச்சரிக்கை, பரிசு அறிவிப்பு, அல்லது பாதுகாப்பு சரிபார்ப்பு கோரிக்கை போன்ற பெயர்களில் தாக்குபவர்கள் உங்களைத் தானாகவே கடவுச்சொல்லை உள்ளிடச் செய்வார்கள்.
இந்த முறை மிகவும் ஆபத்தானது, ஏனெனில் மிக வலுவான கடவுச்சொல்லுக்கூட பயனில்லை, நீங்கள் அதை தவறான தளத்தில் உள்ளிடினால். Phishing செய்திகள் பெரும்பாலும் அவசரம், பயம், அல்லது ஆர்வம் ஆகிய உணர்வுகளைத் தூண்டும். “உங்கள் கணக்கு முடக்கப்படும்”, “உடனே சரிபார்க்கவும்”, “சந்தேகமான உள்நுழைவு கண்டறியப்பட்டது” போன்ற மொழி இதற்குச் சாதாரணம்.
Phishing-ஐ அடையாளம் காண உதவும் சான்றுகள்
- எழுத்துப் பிழைகள் அல்லது இயல்பற்ற மொழி
- உண்மையான தளத்தைப் போலத் தோன்றும் போலி URL
- அவசரமான நடவடிக்கை கோரும் செய்தி
- நேரடியாக கடவுச்சொல் கேட்கும் இணைப்பு
- எதிர்பாராத இணைப்பு அல்லது இணைப்புச் சுட்டி
5. Credential stuffing
Credential stuffing-ல் தாக்குபவர்கள் புதிய கடவுச்சொல் உருவாக்க முயற்சிப்பதில்லை. ஏற்கனவே எங்கோ கசிந்த உள்நுழைவு விவரங்களை எடுத்து, வேறு தளங்களில் தானியக்கமாகச் சோதிக்கிறார்கள். நீங்கள் ஒரே மின்னஞ்சல் மற்றும் ஒரே கடவுச்சொல்லை பல சேவைகளில் பயன்படுத்தினால், ஒரு கசிவு பல கணக்குகளை பாதிக்க முடியும்.
இதன் ஆபத்து மிக நேரடி: உங்கள் தற்போதைய கணக்கு பாதுகாப்பாக இருந்தாலும், நீங்கள் பயன்படுத்திய வேறு சேவையில் ஏற்பட்ட தரவு கசிவு உங்கள் மீது தாக்கத்தை ஏற்படுத்தலாம். அதனால் “என் கடவுச்சொல் வலுவானதே” என்பது மட்டும் போதாது; “ஒவ்வொரு சேவைக்கும் தனி கடவுச்சொல் இருக்கிறதா?” என்பதே முக்கியமான கேள்வி.
இந்த தாக்குதலுக்கு மிகவும் பாதிக்கப்படுபவர்கள்
- பல சேவைகளில் ஒரே கடவுச்சொல் பயன்படுத்துவோர்
- மின்னஞ்சலை முதன்மை உள்நுழைவாக பயன்படுத்துவோர்
- பழைய கணக்குகளை கவனிக்காமல் விட்டு இருப்போர்
- கடவுச்சொல் மேலாளர் பயன்படுத்தாதோர்
6. Malware மற்றும் keylogger தாக்குதல்கள்
Malware அல்லது keylogger தாக்குதல்களில், உங்கள் சாதனத்தில் தீங்கு விளைவிக்கும் மென்பொருள் நிறுவப்பட்ட பிறகு, நீங்கள் தட்டச்சு செய்யும் தகவல்கள், உள்நுழைவு விவரங்கள், அல்லது session தொடர்பான தகவல்கள் திருடப்படலாம். இங்கே கடவுச்சொல் வலிமை மட்டும் பாதுகாப்பளிக்காது; சாதனத்தின் பாதுகாப்பும் சம அளவு முக்கியம்.
Keylogger உங்கள் விசைப்பலகை உள்ளீடுகளைப் பதிவு செய்யக்கூடும். சில தீங்கிழைக்கும் மென்பொருட்கள் உலாவியில் சேமிக்கப்பட்ட தகவல்களையும் இலக்காகக் கொள்கின்றன. சந்தேகமான கோப்புகளைப் பதிவிறக்கம் செய்தல், சரிபார்க்கப்படாத மென்பொருள் நிறுவுதல், அல்லது போலியான புதுப்பிப்பு அறிவிப்புகளை ஏற்குதல் ஆகியவை இந்த ஆபத்தை அதிகரிக்கும்.
சாதனப் பாதுகாப்புக்கான அடிப்படை நடவடிக்கைகள்
- நம்பகமற்ற கோப்புகளைத் திறக்காதீர்கள்
- மென்பொருள் புதுப்பிப்புகளை தாமதிக்காதீர்கள்
- உலாவி மற்றும் இயங்கு தள பாதுகாப்பை பராமரிக்கவும்
- அறியாத நீட்சிகள், plugins, installers ஆகியவற்றைத் தவிர்க்கவும்
கடவுச்சொல் தாக்குதல்களைத் தடுக்க என்ன செய்யலாம்?
கணினி கள்ளர்கள் உங்கள் கடவுச்சொல்லை எப்படி உடைக்கிறார்கள் என்பதை அறிந்ததும், அதற்கான தற்காப்பு நடவடிக்கைகள் தெளிவாக தெரியும். முக்கியக் கொள்கை எளியது: ஒவ்வொரு கணக்கிற்கும் தனித்தனி, நீளமான, கணிக்க முடியாத கடவுச்சொல்; அதனுடன் கூடுதல் சான்றிதழ் பாதுகாப்பு; மேலும் சந்தேகமான இணைப்புகளில் எச்சரிக்கை.
பயன்பாட்டிற்கு ஏற்ற பாதுகாப்பு திட்டம் இதுதான்:
- ஒவ்வொரு சேவைக்கும் தனி கடவுச்சொல் அமைக்கவும்.
- நினைவில் வைக்க சிரமமானால் கடவுச்சொல் மேலாளர் பயன்படுத்தவும்.
- passphrase அணுகுமுறையைப் பரிசீலிக்கவும்; நீளம் பாதுகாப்பை உயர்த்தும்.
- இரு-அங்கச் சான்றிதழைச் செயல்படுத்தவும்.
- போலி உள்நுழைவு பக்கங்களைத் தவிர்க்க URL-ஐ கவனமாகப் பார்க்கவும்.
- பழைய அல்லது பயன்படுத்தாத கணக்குகளையும் பாதுகாப்பாக மூடவோ புதுப்பிக்கவோ செய்யவும்.
- சாதனங்கள் மற்றும் பயன்பாடுகளை புதுப்பித்தபடி வைத்திருக்கவும்.
விரைவான ஒப்பீட்டு அட்டவணை
கீழே உள்ள அட்டவணை, ஆறு பொதுவான தாக்கு முறைகள் மற்றும் அவற்றுக்கு எதிரான பயனுள்ள பாதுகாப்பு அணுகுமுறைகளை சுருக்கமாகக் காட்டுகிறது.
| தாக்கு முறை | அது எப்படி வேலை செய்கிறது | முக்கிய பலவீனம் | என்ன செய்யலாம் |
|---|---|---|---|
| ஊகித்தல் | தனிப்பட்ட அல்லது பொதுவான கடவுச்சொற்களை முயற்சிக்கும் | கணிக்கக்கூடிய தகவல் | தனிப்பட்ட விவரங்களை தவிர்க்கவும் |
| Brute force | பல சேர்க்கைகளை தொடர்ந்து சோதிக்கும் | குறுகிய, எளிய கடவுச்சொல் | நீளமான, சீரற்ற கடவுச்சொல் |
| Dictionary attack | பொதுச் சொற்கள் மற்றும் மாதிரிகளைச் சோதிக்கும் | அகராதிச் சொல் அடிப்படையிலான அமைப்பு | தனித்துவமான passphrase |
| Phishing | போலி தளத்தில் உங்களை உள்நுழையச் செய்கிறது | மனித நம்பிக்கை | URL சரிபார்த்து, அவசர இணைப்புகளைத் தவிர்க்கவும் |
| Credential stuffing | கசிந்த விவரங்களை பல தளங்களில் சோதிக்கும் | ஒரே கடவுச்சொல்லை மீண்டும் பயன்படுத்துதல் | ஒவ்வொரு தளத்திற்கும் தனி கடவுச்சொல் |
| Malware / keylogger | சாதனத்தில் இருந்து உள்ளீடுகளைப் பிடிக்கும் | பாதிக்கப்பட்ட சாதனம் | புதுப்பிப்பு, பாதுகாப்பான நிறுவல் பழக்கம் |
அடிக்கடி கேட்கப்படும் கேள்விகள்
வலுவான கடவுச்சொல் இருந்தால் நான் முழுமையாக பாதுகாப்பானவரா?
இல்லை. வலுவான கடவுச்சொல் முக்கியமானது, ஆனால் phishing, malware, credential stuffing போன்ற முறைகள் கடவுச்சொல்லின் வலிமையைத் தாண்டி தாக்க முடியும். அதனால் கடவுச்சொல் வலிமை, தனித்துவம், இரு-அங்கச் சான்றிதழ், மற்றும் பாதுகாப்பான உலாவல் பழக்கம் ஆகியவை சேர்ந்து இருக்க வேண்டும்.
ஒரே கடவுச்சொல்லை இரண்டு அல்லது மூன்று தளங்களில் பயன்படுத்துவது பெரிய பிரச்சினையா?
ஆம், அது முக்கியமான ஆபத்து. ஒரு சேவையில் விவரங்கள் கசிந்தால், அதே உள்நுழைவு விவரங்கள் வேறு தளங்களிலும் வேலை செய்யக்கூடும். இந்த காரணத்தினால்தான் credential stuffing மிகவும் பயனுள்ள தாக்குதலாக உள்ளது. சிறிய அளவிலான மீள்பயன்பாடும் பல கணக்குகளை இணைத்து ஆபத்துக்குள் இட்டுச் செல்லும்.
கடவுச்சொல் மேலாளர் பயன்படுத்துவது பாதுகாப்பானதா?
பொதுவாக, பல தனித்தனி வலுவான கடவுச்சொற்களை உருவாக்கி பராமரிக்க இது நடைமுறை ரீதியாக உதவிகரமான தேர்வாக இருக்கலாம். மனிதர்கள் கைமுறையாக எல்லா கடவுச்சொற்களையும் தனித்துவமாக வைத்திருக்க முடியாத சூழலில், கடவுச்சொல் மேலாளர் மீள்பயன்பாட்டை குறைக்க உதவும்.
Phishing-ஐத் தவிர்க்க எளிய பழக்கம் என்ன?
மின்னஞ்சல் அல்லது செய்தியில் வந்த இணைப்பை உடனே திறந்து உள்நுழையாதீர்கள். தேவையானால் தளத்தின் முகவரியை நீங்கள் நேரடியாக உலாவியில் தட்டச்சு செய்து திறக்கவும். அவசர மொழி, எழுத்துப் பிழை, அல்லது இயல்பற்ற URL இருந்தால் கூடுதல் கவனமாக இருங்கள்.
முடிவு
கணினி கள்ளர்கள் உங்கள் கடவுச்சொல்லை எப்படி உடைக்கிறார்கள் என்ற கேள்விக்கு ஒரே பதில் இல்லை; அது ஊகித்தல், brute force, dictionary attack, phishing, credential stuffing, மற்றும் malware போன்ற பல வழிகளில் நடக்கிறது. நல்ல செய்தி என்னவென்றால், பெரும்பாலான தாக்குதல்கள் நல்ல பாதுகாப்பு பழக்கங்களால் குறைக்கப்படலாம். இன்று থেকেই ஒவ்வொரு கணக்கிற்கும் தனி கடவுச்சொல் அமைத்து, இரு-அங்கச் சான்றிதழை செயல்படுத்தி, சந்தேகமான இணைப்புகளைத் தவிர்க்கத் தொடங்குங்கள்.
