Тарас Евгенич

Пароли и сессии: порядок важнее самих паролей

Общий блок для всех систем. Сначала удали сертификат по инструкции своей системы, потом читай это: https://tevgenich.com/instrukciya/

Сначала спокойная часть

Ни одного зафиксированного случая перехвата с этим сертификатом в открытых источниках нет. Я искал специально. Установка корня сама по себе ничего никуда не передаёт - это выданное разрешение, а не утечка.

Так что всё ниже - гигиена, а не тушение пожара. Менять двадцать паролей за вечер в панике не надо, обычный итог такой паники - двадцать новых паролей, записанных в заметки телефона, и это хуже, чем было.

Теперь неспокойная

Проверить снаружи, пользовался кто-то этим разрешением или нет, практически невозможно. При таком перехвате браузер не показывает ни ошибки, ни предупреждения, замок остаётся зелёным. Поэтому если дверь была открыта долго - закрой её по-человечески.

Порядок. Он не переставляется

  1. Удалить сертификат со всех устройств, где он стоял. Со всех, а не только с основного: старый ноутбук, рабочий компьютер, планшет, телефон родителей, которым ты ставил «чтобы банк открывался».
  2. Перезапустить браузеры полностью, телефон перезагрузить.
  3. Проверить, что ушли оба сертификата - по шагу проверки своей системы.
  4. Завершить активные сеансы во всех важных сервисах - кнопка «выйти со всех устройств» есть почти везде.
  5. И только теперь менять пароли. Лучше с другого устройства.

Почему именно так. Если менять пароль, пока корень ещё стоит в системе, ты отдаёшь новый пароль ровно тем же каналом, которым мог утечь старый. Смысла ноль.

Почему шаг 4 важнее шага 5. Угнанная сессия уже прошла аутентификацию, второй фактор ей больше не нужен, и во многих сервисах она переживает смену пароля. Поэтому сначала выкидываем все сессии, потом меняем пароль.

Что менять и в каком порядке

  1. Почта. Через неё восстанавливается всё остальное, поэтому она первая.
  2. Банк и госуслуги.
  3. Мессенджеры.
  4. Остальное по мере необходимости, не за один вечер.

Две вещи, на которых ошибаются почти все

«У меня двухфакторка, значит всё нормально». Не работает. При живом перехвате атакующий видит сессию в реальном времени: получает и пароль, и введённый одноразовый код, и готовую авторизованную сессию. Второй фактор защищает от отложенного использования украденного пароля, а не от перехвата здесь и сейчас.

«У меня аппаратный ключ / passkey». Тоже нет. Их защита построена на привязке к домену, а при таком перехвате домен-то правильный: подпись проходит, сессия уезжает. От фишинга спасают, от этого - нет.

Дальше