การละเมิดรหัสผ่านคืออะไร?

เผยแพร่แล้ว: 2022-06-10

การละเมิดรหัสผ่านคืออะไร? คุณควรทำตามขั้นตอนใดเพื่อไม่ให้เกิดขึ้นบนเว็บไซต์ WordPress ของคุณ

นับตั้งแต่การเริ่มต้นของอินเทอร์เน็ตและแบบฟอร์มการเข้าสู่ระบบเว็บไซต์ เราทุกคนได้รับการสอนให้ใช้รหัสผ่านที่ปลอดภัยและไม่สามารถแตกหักได้เพื่อปกป้องความเป็นส่วนตัวออนไลน์ของเรา แต่ในฐานะเจ้าของไซต์ WordPress นั้นมีความสำคัญมากกว่าที่เคย เนื่องจากภัยคุกคามด้านความปลอดภัยทางไซเบอร์อย่างต่อเนื่อง คุณต้องทำตามขั้นตอนเพื่อหลีกเลี่ยงการละเมิดรหัสผ่านที่อาจนำไปสู่แฮ็กเกอร์เข้ายึดเว็บไซต์ของคุณ

ในคู่มือนี้ เราจะเจาะลึกถึงความเสี่ยงของการละเมิดรหัสผ่านและวิธีการใช้รหัสผ่านเพื่อควบคุมไซต์ WordPress ของคุณอย่างสมบูรณ์ นอกจากนี้เรายังจะแสดงให้คุณเห็นอย่างชัดเจนถึงสิ่งที่คุณต้องทำเพื่อปกป้องไซต์ของคุณจากการละเมิดรหัสผ่าน ลองมาดูกัน

การละเมิดรหัสผ่านคืออะไร?

โดยสรุป การละเมิดรหัสผ่านคือเมื่อมีคนเข้าถึงรหัสผ่านของคุณโดยไม่ได้รับอนุญาตจากคุณ การละเมิดรหัสผ่านมักเกิดขึ้นในปริมาณมาก เนื่องจากชุดชื่อผู้ใช้และรหัสผ่านจำนวนมากถูกบุกรุก การละเมิดรหัสผ่านมักส่งผลให้เกิดการรั่วไหลและการทิ้งฐานข้อมูล การถ่ายโอนข้อมูลฐานข้อมูลเหล่านี้ถูกเปิดเผยบนเว็บมืดหรือขายได้

การละเมิดรหัสผ่านเป็นปัญหาใหญ่ด้วยเหตุผลหลายประการ ประการแรก เห็นได้ชัดว่าแฮ็กเกอร์สามารถเข้าถึงบัญชีออนไลน์ของคุณได้ เมื่อรหัสผ่านของคุณถูกรวมไว้ในการละเมิดข้อมูล ความปลอดภัยออนไลน์ของคุณจะลดลงอย่างมาก

ที่แย่ไปกว่านั้น หากคุณใช้รหัสผ่านซ้ำสำหรับหลายบัญชี บัญชีเหล่านั้นทั้งหมดจะถูกบุกรุก ในรายงานการตรวจสอบการละเมิดข้อมูลของ Verizon ฉบับล่าสุด พนักงานมากกว่า 70% ใช้รหัสผ่านซ้ำในที่ทำงาน แต่สถิติที่สำคัญที่สุดจากรายงานของ Verizon คือ 81% ของการละเมิดที่เกี่ยวข้องกับการแฮ็กใช้ประโยชน์จากรหัสผ่านที่ขโมยมาหรือรหัสผ่านที่ไม่รัดกุม

รหัสผ่านผิด

การโจมตีแบบ Man-In-the-Middle (MITM) คืออะไร?

เมื่อพูดถึงการละเมิดรหัสผ่าน จำเป็นต้องเข้าใจการโจมตีของ MITM หรือ Man-In-the-Middle การโจมตีแบบ Man in the Middle เป็นคำทั่วไปสำหรับการโจมตีทางไซเบอร์ใดๆ ที่แฮ็กเกอร์วางตำแหน่งตัวเองในตำแหน่งตัวกลางระหว่างผู้ส่งและผู้รับข้อมูลหรือข้อมูล

ตัวอย่างของสิ่งนี้คือให้แฮ็กเกอร์อยู่ระหว่างเว็บเบราว์เซอร์ของผู้ใช้กับเว็บไซต์ที่พวกเขากำลังเยี่ยมชมอยู่ การวางตำแหน่งตัวเองให้อยู่ตรงกลางจะช่วยให้ผู้โจมตีสามารถดักฟังและในหลายกรณี สามารถแก้ไขเนื้อหาเป้าหมายตามที่ส่งและรับระหว่างสถานที่สองแห่งที่แตกต่างกัน

เมื่อแฮ็กเกอร์สามารถบันทึกข้อมูลรับรองการเข้าสู่ระบบของผู้ใช้ไซต์ได้ บางครั้งพวกเขาก็สามารถใช้ข้อมูลนั้นเพื่อเข้าถึงไซต์ WordPress ของคุณแบบมีสิทธิพิเศษได้ และหากพวกเขาสามารถจับข้อมูลประจำตัวของผู้ดูแลระบบของไซต์ของคุณได้ พวกเขาก็จะสามารถทำทุกอย่างกับไซต์ของคุณได้ตามต้องการ ซึ่งรวมถึงการเปลี่ยนเส้นทางไปยังตำแหน่งอื่นโดยสิ้นเชิง

วิธีที่แฮกเกอร์ขโมยรหัสผ่านและข้อมูลรับรองสำหรับการเข้าสู่ระบบ

แฮ็กเกอร์ใช้เทคนิคมากมายในการขโมยรหัสผ่านของคุณ รวมถึงฟิชชิง ขโมยคุกกี้การตรวจสอบสิทธิ์ และการเฝ้าดูการเชื่อมต่อที่ไม่ปลอดภัยหรือไม่ได้เข้ารหัส

เพื่อให้เข้าใจอย่างถ่องแท้ว่าการละเมิดรหัสผ่านเกิดขึ้นได้อย่างไรและจะขโมยข้อมูลประจำตัวได้อย่างไร ก่อนอื่นคุณต้องดูคำขอ HTTP ที่ไม่ปลอดภัยซึ่งมีข้อมูลประจำตัวที่ส่งโดยใช้เครื่องมือสำหรับนักพัฒนาซอฟต์แวร์ในตัวของเบราว์เซอร์

โปรดทราบว่านี่ไม่ใช่การโจมตีแบบ Man-In-the-Middle แต่ยังคงเป็นการละเมิดรหัสผ่าน และข้อมูลนี้จะช่วยอธิบายสิ่งที่คุณจะต้องค้นหาในภายหลังในกระบวนการนี้

ตอนนี้ เราต้องดูว่าแฮ็กเกอร์เห็นอะไรเมื่อพวกเขาตรวจสอบทราฟฟิก HTTP ที่ไม่ได้เข้ารหัส สำหรับตัวอย่างนี้ เรากำลังใช้เครื่องมือที่เรียกว่า Wireshare นี่เป็นเครื่องมือวิเคราะห์เครือข่ายยอดนิยมและฟรีที่ทุกคนสามารถใช้ได้ ผู้ใช้ที่เป็นอันตรายซึ่งอยู่ในเครือข่าย WiFi เดียวกันกับที่คุณใช้ สามารถใช้เครื่องมือดังกล่าวเพื่อรับข้อมูลที่ละเอียดอ่อนซึ่งไม่ได้เข้ารหัสผ่าน HTTPS

คุกกี้เกี่ยวข้องกับการตรวจสอบความถูกต้องของเว็บไซต์อย่างไร

นอกเหนือจากการขโมยข้อมูลรับรองการเข้าสู่ระบบและรหัสผ่านของคุณแล้ว แฮ็กเกอร์ที่มีความรู้ยังสามารถขโมยคุกกี้การรับรองความถูกต้องของคุณและใช้เพื่อแอบอ้างเป็นคุณบนเว็บไซต์ของคุณได้อย่างเต็มที่

สิ่งสำคัญคือต้องเข้าใจว่า HTTP คือสิ่งที่เรียกว่าโปรโตคอลไร้สัญชาติ กล่าวอีกนัยหนึ่ง ใน HTTP เซิร์ฟเวอร์ไม่ได้แนบความหมายส่วนบุคคลใดๆ กับคำขอที่มาถึงผ่านซ็อกเก็ต TCP ที่เหมือนกัน

หมายความว่า เว้นแต่คุณต้องการพิมพ์รหัสผ่านแบบเต็มทุกครั้งที่คุณขอหน้าบนไซต์ เบราว์เซอร์จำเป็นต้องเก็บโทเค็นชั่วคราวที่ติดตามคุณเมื่อคุณเรียกดูไซต์

โทเค็นนี้เรียกว่าโทเค็นเซสชัน และเบราว์เซอร์จะส่งโทเค็นนี้โดยอัตโนมัติพร้อมกับทุกคำขอที่คุณทำบนเว็บไซต์ โชคดีที่เว็บเบราว์เซอร์มีกลไกในตัวสำหรับฟังก์ชันที่แน่นอนนี้ และกลไกคือคุกกี้

ด้วยเหตุนี้ เมื่อคุณลบคุกกี้ทั้งหมดที่จัดเก็บไว้ในเบราว์เซอร์ คุณจะออกจากเว็บไซต์ทั้งหมดที่คุณเคยเข้าสู่ระบบก่อนหน้านี้

สิ่งนี้แจ้งให้เราทราบว่าแฮ็กเกอร์และผู้โจมตีที่ประสงค์ร้ายไม่จำเป็นต้องรู้รหัสผ่านของคุณเพื่อดึงการละเมิดรหัสผ่านและแอบอ้างเป็นคุณ สิ่งที่พวกเขาต้องทำคือใช้โทเค็นเซสชันของคุณ และพวกเขาก็สามารถเข้าสู่ระบบไซต์ของคุณได้โดยตรง

ในตัวอย่างก่อนหน้านี้ของเราเกี่ยวกับการละเมิดรหัสผ่าน WordPress คุณจะเห็นว่าผู้โจมตีที่ใช้ Wireshark สามารถเข้าถึงข้อมูลที่เหมือนกันได้แล้ว

จากนั้น ใช้ส่วนขยายเบราว์เซอร์ฟรี เช่น Cookie-Editor แฮ็กเกอร์จะสามารถใช้ค่าของคุกกี้ที่ขโมยมาในเว็บเบราว์เซอร์ของตนได้อย่างง่ายดาย และเริ่มนำทางไปรอบๆ ในแดชบอร์ดผู้ดูแลระบบ WordPress ของคุณ และไม่มีอะไรดีเกิดขึ้นสำหรับตัวคุณเองหรือเว็บไซต์ของคุณ

วิธีการป้องกันตัวเองจากการละเมิดรหัสผ่าน

โปรดทราบว่าการโจมตีด้วยการละเมิดรหัสผ่านบางประเภทนั้นใช้ความพยายามต่ำมากสำหรับแฮ็กเกอร์ที่มีทักษะในการดึงออก โดยเฉพาะอย่างยิ่งในเครือข่ายที่มีความปลอดภัยต่ำหรือสาธารณะ เช่น ตำแหน่ง WiFi สาธารณะ

โชคดีที่การรักษาไซต์ WordPress ของคุณได้รับการปกป้องจากการละเมิดรหัสผ่านนั้นตรงไปตรงมามาก และเป็นสิ่งที่เจ้าของเว็บไซต์ WordPress ที่รับผิดชอบทุกคนต้องให้ความสำคัญในการดำเนินการทันที เพื่อหลีกเลี่ยงการโจมตีที่อาจทำลายเว็บไซต์ของคุณทั้งหมด

ก่อนอื่น ตรวจสอบให้แน่ใจว่าคุณเปิดใช้งานและบังคับใช้ HTTPS บนไซต์ WordPress ใดๆ และทั้งหมดที่คุณจัดการ นี่เป็นข้อกำหนดที่แน่นอนสำหรับไซต์ WordPress ทุกประเภท ไม่ว่าจะเล็กหรือใหญ่ แม้ว่าผู้ใช้ของคุณจะไม่ได้รับอนุญาตให้ลงชื่อเข้าใช้ไซต์ก็ตาม

กล่าวอย่างง่าย ๆ HTTPS จะเข้ารหัสการรับส่งข้อมูลทั้งหมดระหว่างเบราว์เซอร์และเซิร์ฟเวอร์ไซต์ของคุณ หากผู้โจมตีพยายามอ่านเนื้อหาของการรับส่งข้อมูลที่เข้ารหัสด้วย HTTPS พวกเขาจะพบแต่ข้อความที่เข้ารหัสที่อ่านไม่ออกและไม่มีความหมาย

และรหัสผ่านของคุณจะปลอดภัย

แน่นอน คุณจะต้องมีใบรับรองความปลอดภัย SSL เพื่อให้สามารถบังคับใช้ HTTPS บนไซต์ของคุณได้ วันนี้ โฮสต์ WordPress จำนวนมากเสนอใบรับรอง SSL ฟรี ซึ่งทำให้ไม่ต้องคิดมาก

การใช้ปลั๊กอิน iThemes Security Pro เพื่อหลีกเลี่ยงการละเมิดรหัสผ่านบนไซต์ WordPress ของคุณ

เช่นเดียวกับแอปพลิเคชันเว็บไซต์อื่น ๆ ทั้งหมดที่มีแบบฟอร์มการเข้าสู่ระบบ ระบบจัดการเนื้อหาของ WordPress จะส่งชื่อผู้ใช้และรหัสผ่านภายในคำขอ HTTP เมื่อคุณหรือผู้ใช้รายอื่นเข้าสู่ระบบ และอย่างที่คุณอาจทราบ HTTP ไม่ใช่โปรโตคอลที่เข้ารหัส

ซึ่งหมายความว่าหากคุณไม่ได้ใช้งานไซต์ของคุณอย่างปลอดภัยโดยใช้ HTTPS การสื่อสารทั้งหมดระหว่างผู้ใช้และเว็บเซิร์ฟเวอร์ของคุณจะเปิดให้ดักฟังจากแฮกเกอร์และผู้โจมตีที่ประสงค์ร้าย

แฮกเกอร์สามารถสกัดกั้น ปรับเปลี่ยน ทราฟฟิก HTTP (ไม่ได้เข้ารหัส) แบบข้อความธรรมดาของไซต์ WordPress ของคุณได้อย่างง่ายดาย และแน่นอน ข้อมูลที่มีค่าที่สุดที่แฮ็กเกอร์จะมองหาคือข้อมูลรับรองการเข้าสู่ระบบของผู้ดูแลระบบไซต์ รวมถึงรหัสผ่านของคุณ นั่นเป็นเหตุผลว่าทำไมการใช้ HTTPS สำหรับไซต์ WordPress ของคุณจึงเป็นสิ่งสำคัญ ต่อไปนี้คือคำแนะนำโดยย่อเกี่ยวกับความหมายของ HTTP และ HTTPS

หากคุณมีเว็บไซต์ WordPress หนึ่งในแนวป้องกันที่ดีที่สุดของคุณคือปลั๊กอิน iThemes Security Pro iThemes Security เป็นปลั๊กอินความปลอดภัย WordPress ที่ทรงพลังพร้อมคุณสมบัติที่ออกแบบมาเพื่อรักษาความปลอดภัยบัญชีผู้ใช้และทำให้ WordPress แข็งแกร่ง

ตัวอย่างเช่น คุณลักษณะข้อกำหนดรหัสผ่านใน iThemes Security Pro ไม่ได้เป็นเพียงนโยบายรหัสผ่านของคุณเท่านั้น แต่ยังเป็นเครื่องมือบังคับใช้รหัสผ่านของคุณด้วย

การใช้คุณสมบัติข้อกำหนดรหัสผ่าน คุณจะสามารถบังคับสมาชิกของกลุ่มผู้ใช้ WordPress ภายในแดชบอร์ดของคุณได้อย่างง่ายดาย:

  • ใช้รหัสผ่านที่รัดกุม
  • เลือกเวลาที่กำหนดให้รหัสผ่านหมดอายุและรีเซ็ตโดยผู้ใช้ภายในแต่ละกลุ่ม
  • ปฏิเสธรหัสผ่านที่ถูกบุกรุก (สิ่งนี้บังคับให้ผู้ใช้ใช้รหัสผ่านที่ไม่ปรากฏในการละเมิดรหัสผ่านใด ๆ ที่ฉันได้รับการติดตาม)
  • บังคับเปลี่ยนรหัสผ่านทั่วทั้งไซต์เพื่อให้แน่ใจว่าทุกคนในไซต์ปฏิบัติตามนโยบายรหัสผ่านที่รัดกุมใหม่ที่คุณกำลังนำไปใช้

คุณลักษณะข้อกำหนดรหัสผ่าน iThemes Security Pro จะทำงานเพื่อรักษาความปลอดภัยข้อมูลรับรองการเข้าสู่ระบบ WordPress ของคุณจากการโจมตีด้วยการละเมิดรหัสผ่านที่เราเพิ่งพูดถึงในคู่มือนี้ และอีกมากมาย

อันที่จริงมันเป็นชุดความปลอดภัย WordPress เต็มรูปแบบที่ไม่มีเจ้าของไซต์ WordPress ใดควรหลีกเลี่ยงหากการรักษาความปลอดภัยไซต์ของคุณจากการโจมตีที่เป็นอันตรายทุกประเภทมีความสำคัญสำหรับคุณ

นอกจากนี้ยังช่วยให้คุณสามารถบังคับใช้นโยบายรหัสผ่านด้วยการคลิกปุ่มง่ายๆ ความจริงก็คือคนส่วนใหญ่ชอบที่จะใช้เส้นทางที่มีการต่อต้านน้อยที่สุด การลบตัวเลือกในการใช้รหัสผ่านที่ไม่รัดกุมหรือถูกบุกรุก แสดงว่าคุณกำลังช่วยเหลือตัวเองและทุกคนที่ใช้ไซต์ของคุณในการปกป้องบัญชีของตนอย่างเต็มที่จากความเสียหายจากการละเมิดรหัสผ่าน

ข้อควรระวังรหัสผ่านเพิ่มเติมที่ต้องทำ

แม้ว่าจะไม่มีคำถามว่าคุณจำเป็นต้องเปิดใช้งาน HTTPS ทันทีบนไซต์ WordPress ของคุณ จากนั้นจึงติดตั้งชุดรักษาความปลอดภัยเพื่อป้องกันการโจมตีด้วยการละเมิดรหัสผ่าน นอกจากนี้ยังมีมาตรการเพิ่มเติมบางประการที่คุณต้องการดำเนินการที่เกี่ยวข้องกับความปลอดภัยและการเสริมความแข็งแกร่งของ WordPress:

  • เพิ่ม 2FA (การตรวจสอบสิทธิ์แบบสองปัจจัย) เพื่อเพิ่มความปลอดภัยให้กับกลไกการตรวจสอบสิทธิ์ไซต์ WordPress ของคุณ ปลั๊กอิน iThemes Security Pro จะช่วยคุณในเรื่องนี้
  • จำกัดการพยายามเข้าสู่ระบบที่ล้มเหลวในเว็บไซต์ของคุณเพื่อช่วยขัดขวางความพยายามในการแฮ็ค เช่น การโจมตีด้วยการเดารหัสผ่านและการโจมตี DDoS ด้วยการป้องกันกำลังดุร้ายของ iThemes Security
  • เปิดการบันทึกความปลอดภัยเพื่อช่วยให้คุณตรวจสอบการเข้าถึงแดชบอร์ดผู้ดูแลระบบ WordPress ของคุณโดยไม่ได้รับอนุญาต
  • ตรวจสอบให้แน่ใจว่าได้เปิดใช้งานการตรวจหาการเปลี่ยนแปลงไฟล์บนไซต์ WordPress ของคุณ เพื่อค้นหาการเปลี่ยนแปลงไฟล์ที่ไม่ได้รับอนุญาตหรือน่าสงสัย
รับเนื้อหาโบนัส: เริ่มต้นใช้งานการเข้าสู่ระบบแบบไม่มีรหัสผ่าน
คลิกที่นี่

สรุป: หลีกเลี่ยงการละเมิดรหัสผ่านบนเว็บไซต์ WordPress ของคุณ

การละเมิดรหัสผ่านที่ประสบความสำเร็จเป็นหนึ่งในสิ่งที่ร้ายแรงที่สุดที่อาจเกิดขึ้นกับเจ้าของไซต์ WordPress และแม้แต่เว็บไซต์ที่ใหญ่ที่สุดในโลกก็ไม่รอดพ้นจากอันตรายของพวกเขา

อย่างไรก็ตาม หลังจากศึกษาคู่มือนี้แล้ว ตอนนี้คุณมีเครื่องมือสำหรับใช้ในไซต์ของคุณแล้ว ซึ่งจะช่วยป้องกันไม่ให้คุณรอดพ้นจากการทำลายล้างนี้

และด้วยความช่วยเหลือของเครื่องมือที่เหมาะสม ตามที่กล่าวไว้ในที่นี้ คุณจะสามารถใช้งานไซต์ WordPress ที่ปลอดภัยยิ่งขึ้นได้

ปลั๊กอินความปลอดภัย WordPress ที่ดีที่สุดสำหรับการรักษาความปลอดภัยและปกป้อง WordPress

ปัจจุบัน WordPress มีอำนาจมากกว่า 40% ของเว็บไซต์ทั้งหมด ดังนั้นจึงกลายเป็นเป้าหมายที่ง่ายสำหรับแฮกเกอร์ที่มีเจตนาร้าย ปลั๊กอิน iThemes Security Pro นำการคาดเดาออกจากความปลอดภัยของ WordPress เพื่อให้ง่ายต่อการรักษาความปลอดภัยและปกป้องเว็บไซต์ WordPress ของคุณ มันเหมือนกับการมีผู้เชี่ยวชาญด้านความปลอดภัยเต็มเวลาที่เจ้าหน้าที่คอยตรวจสอบและปกป้องไซต์ WordPress ของคุณให้กับคุณอยู่เสมอ

รับ iThemes Security Pro