Нууц үгийг хэрхэн аюулгүй илгээх вэ, юу хийж болохгүй вэ
Messenger, и-мэйл, Viber дахь нууц үг устгатал хоёр талын чатад үлддэг тул нууц үг удирдагчаар хуваалцах эсвэл нэг үзээд хүчингүй болох холбоос ашиглаарай.
UB Web Developers Баг
Messenger, и-мэйл эсвэл Viber-аар нууц үгийг энгийн зурвас болгон бүү илгээгээрэй: энгийн зурвас нь хоёр талд устгагдах хүртлээ тэндээ уншигдахуйц хэвээр үлдэх бөгөөд аль нэг хаяг руу нэвтэрсэн хэн ч түүнийг олж харж чадна. Үүний оронд нууц үг удирдагчийн (password manager) хуваалцах боломжийг, эсвэл нэг удаа нээгдээд хүчингүй болдог холбоосыг ашиглаарай.
Хэрэв нууц үгийг чатаар аль хэдийн явуулсан бол нөгөө хүн тань ашиглаж дуусмагц нууц үгээ солиорой.
Чатаар эсвэл и-мэйлээр илгээсэн нууц үг яагаад уншигдахуйц хэвээр үлддэг вэ?#
Эдгээр аппын шифрлэлт (encryption) нь зурвасыг төхөөрөмж хооронд дамжих замд нь хамгаалдаг. Харин зурвас чат эсвэл и-мэйл хайрцагт орсны дараа тухайн хаягийг эсвэл түгжээгүй утсыг нээж чадах хэн ч түүнийг унших боломжтой.
- И-мэйл. Gmail нь захидлуудыг "дамжуулагдаж байх явцад нь" шифрлэдэг (Google (шинэ цонхонд нээгдэнэ)). Хүргэгдсэний дараа уг и-мэйл таны Илгээсэн (Sent) хавтсанд болон хүлээн авагчийн и-мэйл хайрцагт хоёр тал устгах хүртэл хадгалагдана. Устгасан Gmail захидлууд ч та Хогийн саваа (Trash) түүнээс өмнө хоослоогүй бол тэнд 30 хоног байдаг (Google (шинэ цонхонд нээгдэнэ)).
- Messenger. 2023 оны 12-р сард Meta хувийн Messenger чатуудад анхнаасаа төгсгөл хоорондын шифрлэлтийг нэвтрүүлж эхэлсэн тул та зурвасыг Meta-д мэдээлээгүй л бол "Meta-г оролцуулаад хэн ч юу илгээсэн эсвэл хэлснийг харах боломжгүй" (Meta (шинэ цонхонд нээгдэнэ)). Чатын түүх хадгалагдах бөгөөд шинэ төхөөрөмж дээр PIN код зэрэг сэргээх аргаар түүнийг буцааж сэргээдэг. Тэрхүү түүх доторх нууц үгийг таны түгжээгүй утсыг барьсан, эсвэл хаяг болон сэргээх арга руу нь нэвтэрсэн хэн ч унших боломжтой.
- Viber. Viber мөн анхнаасаа төгсгөл хоорондын шифрлэлт ашигладаг бөгөөд зурвас хүргэгдсэний дараа сервер дээрээ юу ч хадгалдаггүй гэж мэдэгддэг (Viber (шинэ цонхонд нээгдэнэ)). Энгийн зурвас нь устгагдах хүртлээ хоёр утасны чат дотор хэвээр үлдэнэ. Viber дээр илгээсэн зурвасаа уншсаных нь дараа ч бүх хүнээс устгах боломжтой байдаг ч нөгөө хүн тань түүнийг аль хэдийн хуулж авсан байж болно.
Тиймээс гол эрсдэл нь зурвасыг замд нь хэн нэгэн унших биш, харин хэдэн сарын дараа аль нэг хаяг руу нэвтэрсэн эсвэл түгжээгүй утас барьсан хүн олж харах явдал юм. Хаяг алдагдах тохиолдол түгээмэл гардаг: манай бизнесийн Facebook хуудас хакдуулсан үед буцааж авах зааварт олон мянган хаягийг хамарсан сүүлийн үеийн халдлагуудын талаар дурдсан.
Юунаас зайлсхийх хэрэгтэй вэ?#
- Вэбсайтын хаяг, хэрэглэгчийн нэр болон нууц үгийг нэг зурваст хамтад нь бичиж явуулах. Энэ нь уг зурвасыг уншсан хүнд нэвтрэхэд шаардлагатай бүх мэдээллийг бэлэн өгч байна гэсэн үг.
- Нууц үгийн дэлгэцийн зургийг (screenshot) явуулах. Энэ нь яг ижил нууц үг бөгөөд дээр нь таны зургийн цомогт давхар хадгалагдаж үлдэнэ.
- Ажил дууссаны дараа ч дундаа ашигласан нууц үгээ хэвээр үлдээх. Google хаягаа бусадтай хуваалцахаа болих үедээ нууц үгээ солихыг зөвлөдөг (Google (шинэ цонхонд нээгдэнэ)).
- Хоёр шатлалт баталгаажуулалтын код эсвэл нөөц кодыг бусдад явуулах. Google нөөц кодын талаар "Нөөц кодоо хэнтэй ч бүү хуваалцаарай" гэж анхааруулдаг (Google (шинэ цонхонд нээгдэнэ)).
Нууц үгийг илүү аюулгүй хуваалцах ямар аргууд байдаг вэ?#
Нууц үг удирдагч (password manager). Их Британийн Үндэсний кибер аюулгүй байдлын төв (NCSC) эдгээрийг ашиглахыг зөвлөдөг (шинэ цонхонд нээгдэнэ). Энэ төрлийн програмууд нь хаяг тус бүрд хүчтэй, давтагдашгүй нууц үг үүсгэж, зөвхөн жинхэнэ вэбсайт дээр нь автоматаар бөглөдөг бөгөөд олонх нь нууц үгийг аюулгүй хуваалцах боломжтой байдаг. Өөр өөрөөр ажилладаг гурван жишээ дурдвал:
- Google Password Manager нь нууц үгийг зөвхөн таны Google гэр бүлийн бүлгийн (family group) гишүүдтэй хуваалцдаг. Уг нууц үг хүлээн авагчийн Google Account-д хадгалагдана (Google (шинэ цонхонд нээгдэнэ)).
- 1Password нь бүртгэлийн хуулбар луу хандах тусгай холбоос үүсгэдэг. Хүлээн авагч нь 1Password хаягтай байх шаардлагагүй бөгөөд та холбоосын хүчинтэй хугацааг сонгож, зөвхөн тодорхой и-мэйл хаягуудаар нээгдэхээр хязгаарлаж болно (1Password (шинэ цонхонд нээгдэнэ)).
- Bitwarden Send нь текст эсвэл файл дамжуулах түр холбоос үүсгэдэг. Мэдээлэл нь үүсгэх үед шифрлэгддэг бөгөөд нууц үг болон нээж үзэх тооны хязгаар тавих боломжтойгоос гадна дээд тал нь 31 хоногийн дараа устдаг (Bitwarden (шинэ цонхонд нээгдэнэ)).
Нэг удаагийн холбоос. Нэг удаа нээгдээд хүчингүй болдог холбоос нь таны хуулж тавьсан чат дотор уншигдахуйц ямар ч мэдээлэл үлдээдэггүй.
Автоматаар устдаг зурвас (зайлшгүй тохиолдолд). Хэрэв заавал чат ашиглах шаардлагатай бол эхлээд автоматаар устдаг горимыг (disappearing messages) идэвхжүүлээрэй. Messenger дээр ийм зурвас 24 цаг (шинэ цонхонд нээгдэнэ) хадгалагддаг бол Viber дээр уншсаны дараа чатаас автоматаар устдаг (Viber (шинэ цонхонд нээгдэнэ)). Гэхдээ нөгөө хүн тань зурвасыг устахаас өмнө хуулж авах боломжтой хэвээр гэдгийг санаарай.
Манай нууц мэдээлэл илгээх хуудсууд хэрхэн ажилладаг вэ?#
Манай вэбсайт энэ зориулалтын хоёр хуудастай. Тус бүрийнх нь эх кодоос авсан ажиллах зарчмыг доор тайлбарлав.
UB Web Developers-т нууц үг илгээх#
/share-secret нь нэг чиглэлтэй хүлээн авах хайрцаг юм: хэн ч бүртгэл үүсгэлгүйгээр манай баг руу нууц үг илгээх боломжтой.
- Хаана шифрлэгддэг вэ. Ямар нэгэн өгөгдөл илгээгдэхээс өмнө таны хөтөч дотор шифрлэгдэнэ. Хуудас таны бичсэн текстийг санамсаргүй шинэ түлхүүрээр (AES-256-GCM) цоожилж, улмаар уг түлхүүрийг манай нийтийн түлхүүрээр (RSA-OAEP, 4096-bit) давхар цоожилдог.
- Сервер юу хадгалдаг вэ. Шифрлэгдсэн текст болон цоожлогдсон түлхүүрийг хадгална. Харин заавал бөглөх шаардлагагүй хоёр талбар болох таны нэр болон нууц үг юунд зориулагдсан тухай тайлбар нь энгийн текстээр хадгалагддаг тул нууц үгээ эдгээр талбарт бүү бичээрэй.
- Хэн нээж чадах вэ. Түүнтэй таарах хувийн түлхүүр (private key) нь мэдээллийн санд бус серверийн тохиргоонд хадгалагддаг тул мэдээллийн сангийн хуулбар дангаараа уншигдах боломжгүй. Манай багийн гишүүн админ хайрцаг дотроос илгээмжийг нээх үед сервер түүнийг тайлж харуулдаг.
- Хэр удаан хадгалагддаг вэ. Нээж үзэхэд устахгүй бөгөөд уншсан (read) гэж тэмдэглэгдэнэ. 30 хоногийн дараа админ хайрцагт харагдахаа больж, нээгдэх боломжгүй болдог. Мөн манай баг түүнийг гараар устгах боломжтой.
- Бидэнд ямар мэдэгдэл ирдэг вэ. Зөвхөн илгээгчийн нэр, тайлбар болон ирсэн цагийг агуулсан и-мэйл мэдэгдэл ирдэг.
Өөр хэрэглэгчийн хаяг руу нууц мэдээлэл илгээх#
/tools/secret нь нэг удаагийн холбоос үүсгэдэг. Илгээгч болон хүлээн авагч хоёулаа манай сайт дээр бүртгэлтэй байх шаардлагатай бөгөөд зөвхөн илгээгчийн зааж өгсөн хаяг л уг холбоосыг нээж чадна.
- Хаана шифрлэгддэг вэ. Илгээгчийн хөтөч дотор шифрлэгдэнэ. Түлхүүр нь холбоосын # тэмдгийн ард ордог. Хөтчүүд холбоосын энэ хэсгийг сервер лүү илгээдэггүй тул сервер нууц мэдээллийг зөвхөн шифрлэгдсэн текст хэлбэрээр, хэн илгээсэн, хэн нээх эрхтэй болон гарчиг (label)-ийнх нь хамт хадгалдаг.
- Хэр удаан хүчинтэй вэ. Илгээгч 1 цаг, 1 өдөр эсвэл 7 хоног гэсэн хугацаанаас сонгоно.
- Холбоосыг нээхэд юу болдог вэ. Хуудас ачаалагдмагцаа хаягийн мөрнөөс түлхүүрийг арилгадаг. Зөвхөн зааж өгсөн хаяг Reveal secret товчийг сонгосон үед л нууц мэдээлэл харагдах бөгөөд тэрхүү ганц удаагийн харалтаар шифрлэгдсэн текст мэдээллийн сангаас арчигдана. Холбоосын бүртгэл нь текстгүйгээр үлддэг тул хоёр дахь удаагаа ороход нууц мэдээлэл устсан болохыг харуулдаг.
Манай багийн өөрсдийн командын мөрийн (command-line) хэрэгслээс илгээдэг холбоосууд үүнээс бага зэрэг ялгаатай ажилладаг. Түлхүүр нь холбоос дотор явахгүй бөгөөд серверийн түлхүүрээр цоожлогдож, зөвхөн тэрхүү ганц удаагийн нээлт хийгдэх үед л чөлөөлөгдөөд, шифрлэгдсэн текстийн хамт устдаг.
Эдгээрийн аль нь ч хүлээн авагч нууц үгийг уншсаны дараа хамгаалж чадахгүй. Хэрэв хүлээн авсан хүн нууц үгийг хуулаад чат руу тавьбал эрсдэл хэвээр үлдэнэ.
Эх сурвалж#
- Google, Learn how Gmail encrypts your emails (шинэ цонхонд нээгдэнэ), Gmail Help
- Google, Delete messages in Gmail (шинэ цонхонд нээгдэнэ), Gmail Help
- Google, Manage passwords in Chrome (шинэ цонхонд нээгдэнэ), Google Account Help
- Google, Sign in with backup codes (шинэ цонхонд нээгдэнэ), Google Account Help
- Loredana Crisan, Launching default end-to-end encryption on Messenger (шинэ цонхонд нээгдэнэ), Meta, 2023 оны 12-р сарын 6
- Viber, Security (шинэ цонхонд нээгдэнэ)
- National Cyber Security Centre, Managing your passwords (шинэ цонхонд нээгдэнэ), сүүлд шинэчилсэн: 2026 оны 5-р сарын 21
- 1Password, Securely share 1Password items with anyone (шинэ цонхонд нээгдэнэ), 2026 оны 8-р сарын 3
- Bitwarden, About Send (шинэ цонхонд нээгдэнэ)
Түгээмэл асуулт, хариулт#
Messenger одоо төгсгөл хоорондын шифрлэлттэй (end-to-end encrypted) болсон тул нууц үг явуулахад аюулгүй юу?#
Дамжих замдаа илүү аюулгүй болсон ч нууц үг чат дотор хэвээр үлдэнэ. 2023 оны 12-р сард Meta хувийн чатуудад анхнаасаа төгсгөл хоорондын шифрлэлтийг (шинэ цонхонд нээгдэнэ) нэвтрүүлж эхэлсэн тул хэн нэгэн зурвасыг мэдээлээгүй тохиолдолд Meta тэдгээрийг унших боломжгүй. Гэсэн хэдий ч нууц үг хоёр талын чатын түүхэнд хадгалагдаж үлддэг бөгөөд аль нэг түгжээгүй утсыг барьсан, эсвэл аль нэг хаяг руу нэвтэрч ороод түүхийг нь сэргээсэн хэн ч чатыг дээш гүйлгээд уншиж чадна.
И-мэйлээр нууц үг явуулаад дараа нь устгавал зүгээр үү?#
Та өөрт байгаа хувийг устгалаа гээд хүлээн авагчийн и-мэйл хайрцаг дахь хувь устахгүй. Мөн Gmail дээр устгасан захидлууд та Хогийн саваа (Trash) түүнээс өмнө хоослоогүй бол тэнд 30 хоног (шинэ цонхонд нээгдэнэ) хадгалагддаг. Хэрэв нууц үгийг и-мэйлээр явуулсан бол хүлээн авагч ашиглаж дуусмагц нууц үгээ солиорой.
UB Web Developers миний /share-secret хуудсаар илгээсэн зүйлийг уншиж чадах уу?#
Тийм ээ, энэ хуудас нь манай багт нууц үг илгээх зориулалттай. Таны хөтөч мэдээллийг илгээхээс өмнө шифрлэдэг бөгөөд мэдээллийн санд зөвхөн шифрлэгдсэн хэлбэрээр хадгалагдаж, манай багийн гишүүн админ хайрцаг дотроос нээх үед сервер дээр тайлж уншдаг.
Нэг удаагийн холбоос хэр удаан хүчинтэй байдаг вэ?#
Ашиглаж буй хэрэгслээсээ хамаарна. Манай /tools/secret хуудас дээр илгээгч нь 1 цаг, 1 өдөр эсвэл 7 хоног гэсэн хугацаанаас сонгодог бөгөөд холбоос нэг удаа нээгдмэгц дахин ажиллахаа больдог. Харин Bitwarden Send (шинэ цонхонд нээгдэнэ) холбоос дээд тал нь 31 хоногийн дараа бүрмөсөн устдаг.