Octo中的安全性：真实威胁实例和最佳保护实践

现有威胁：一个真实案例

不久前，几个用户联系了我们，提出了一个明确展示了若干安全配置问题的案例，这些问题可能导致失去对个人资料的控制。

攻击者登录了几个Octo用户账户并访问了他们的个人资料。在我们的调查过程中，我们发现：

• 这些账户在第一次尝试时就已经登录，这意味着攻击者知道密码;

• 受影响的用户没有启用双重身份验证（2FA）;

• 受影响用户的数据出现在一些小众网站的泄露信息中，这可能帮助攻击者识别需要攻击的账户。

攻击者从Octo数据库获取密码的可能性为零，因为我们不以纯文本形式存储密码。这些数据是加密的，即使是Octo团队也无法访问。暴力破解登录凭据的可能性也被排除，因为Octo的安全系统会检测到可疑活动并为有风险的用户重置密码。通过第三方服务以前泄露的数据进行入侵也被视为不可能，因为受影响的用户之一在泄露被发现后更改了密码。

攻击者最有可能使用的工具是一种stealer程序。这种恶意软件程序安装在用户设备上，窃取各种服务的登录凭据。

结论：保护数据的最有效方法是启用双重身份验证。它显著降低安全漏洞的风险，包括由stealer恶意软件进行的攻击。这不仅适用于Octo，也适用于任何其他服务。

Octo团队无法保护用户设备不受stealer恶意软件的侵害。然而，在服务架构和可用安全选项层面，我们已经建立了针对所有可能攻击向量的保护措施。然而，如上述案例所示，这可能还不够。让我们分解一下Octo方面已经做了什么以及需要您直接参与的部分。

我们已经为保护您的资料做了什么

• 我们确保数据存储安全。我们使用AES-256加密，这是一种由政府机构、金融组织、银行和大公司使用的最安全的加密标准之一。

• 我们使用多种组件加密个人资料数据：包括一个秘密密钥、一个独特的数据库密钥，如果资料已设置密码保护，也包括用户密钥。如果攻击者未能访问这些组件中的任何一个，解密资料都是不可能的。

• 我们实施了防暴力破解措施。如果存在威胁，我们会重置用户密码。

• 作为定期更新的一部分，我们不断改进数据保护，例如，使用更先进的加密方法并增加新的安全事件监控流程。

您首先应该做的事情

• 启用双重身份验证。这简单的一步将保护您免受大多数常见威胁。此外，请确保将您的2FA备用代码存放在安全的地方，以防您失去对连接2FA设备的访问。

• 确保能保证访问用于注册您Octo账户的电子邮件地址。只有通过这个电子邮件，您才能在被强制重置密码的情况下更改密码。

您还可以做些什么来提高账户安全性

• 使用独特且复杂的密码。这本身不会保护您免受stealer恶意软件的侵害，但这是一个良好的开端。

• 检查您的数据是否在泄露中暴露。很有可能它已曝光。最危险的情况是泄露来自小众资源，这些资源的用户更有可能使用反检测浏览器。在这种情况下，攻击者拥有一切必要条件，将您选为优先目标并试图使用被盗数据访问您的个人资料。

• 为您最重要的个人资料设置密码。如果您有允许提款的个人资料，最好用额外的密码来保护它。Octo方便地提供了这一可能性。除了您，没有人会知道这个密码。这意味着即便攻击者偷走您的设备，也无法访问个人资料。这样的资料也无法转移到其他Octo账户。但是，请小心：如果您忘记或丢失资料密码，则无法恢复。

• 配置您团队成员的访问权限。人为因素是多种问题的主要原因，而不仅限于与Octo安全相关的问题。您可以使用标签为不同团队成员配置个人资料的访问权限。如果需要撤销团队成员对某些个人资料的访问，可以在“团队”部分的账户设置中轻松实现。团队管理员可以完全删除团队成员的账户。