डिफ़ॉल्ट प्रमाणीकरण जानकारी

डिफ़ॉल्ट प्रमाणीकरण विवरण अक्सर किसी मॉडल के हर उपकरण के लिए समान होते हैं।

डिफ़ॉल्ट जानकारी जानने वाला कोई भी व्यक्ति दुनिया भर के हज़ारों ऐसे उपकरणों में लॉग इन कर सकता है जिन्हें बदला नहीं गया है।

डिफ़ॉल्ट लॉगिन कोई रहस्य नहीं होते। वे पुस्तिकाओं और सार्वजनिक वेबसाइटों पर मिल जाते हैं।

हमलावर बड़ी सूचियाँ रखते हैं और लक्ष्य पर admin : password जैसी हर ज्ञात जोड़ी आज़माते हैं।

हमलावर उपकरणों की हाथ से जाँच नहीं करते। वे ऐसे उपकरण चलाते हैं जो इंटरनेट को स्कैन करते हैं और मिले हर उपकरण पर डिफ़ॉल्ट प्रमाणीकरण विवरण अपने-आप आज़माते हैं।

प्रसिद्ध मिराई बॉटनेट आईओटी उपकरणों पर डिफ़ॉल्ट लॉगिन की एक छोटी सूची आज़माकर फैला था।

इसने बदले न गए पासवर्डों की वजह से सैकड़ों हज़ार उपकरणों को संक्रमित किया और रिकॉर्ड तोड़ हमले शुरू किए।

कुछ उपकरणों में अतिरिक्त खाते होते हैं जिन्हें उपयोगकर्ता कभी नहीं देखते; ये सहायता या डीबगिंग के लिए बनाए जाते हैं।

यदि इनके डिफ़ॉल्ट पासवर्ड बने रहें, तो वे उपकरण में एक छिपा हुआ पिछले दरवाज़ा बन जाते हैं।

सबसे सरल बचाव है कि सेटअप के दौरान तुरंत हर डिफ़ॉल्ट पासवर्ड बदल दें।

हर उपकरण के लिए फ़ैक्टरी वाले पासवर्ड के बजाय एक मज़बूत और अलग पासवर्ड का उपयोग करें।

बेहतर उपकरण उपयोगकर्ता को पहली बार इस्तेमाल करते समय नया पासवर्ड सेट करने के लिए बाध्य करते हैं।

इससे किसी के भूल जाने का जोखिम समाप्त हो जाता है, क्योंकि डिफ़ॉल्ट पासवर्ड बना ही नहीं रह सकता।

सबसे मज़बूत तरीका यह है कि फ़ैक्टरी से हर इकाई को लेबल पर मुद्रित एक अलग यादृच्छिक पासवर्ड दिया जाए।

अब हमलावरों के अनुमान लगाने के लिए कोई साझा डिफ़ॉल्ट पासवर्ड नहीं होता।

संगठनों को डिफ़ॉल्ट प्रमाणीकरण विवरण के लिए अपने उपकरणों की नियमित रूप से जाँच करनी चाहिए।

हमलावरों से पहले इन्हें ढूँढकर ठीक कर देना नेटवर्क में प्रवेश के सबसे आसान रास्तों में से एक को बंद कर देता है।

डिफ़ॉल्ट प्रमाणीकरण विवरण फ़ैक्टरी के लॉगिन होते हैं जो अक्सर साझा और सार्वजनिक होते हैं तथा बदले नहीं जाते, जैसा कि मिराई बॉटनेट ने दिखाया।

इनको बदलकर, पहली बार इस्तेमाल पर बदलाव अनिवार्य करके, हर उपकरण के लिए अलग गोपनीय जानकारी का उपयोग करके और नियमित जाँच करके बचाव करें।