Слили 300 миллионов уникальных паролей / Компьютерная безопасность :: пароли :: слив :: база данных :: песочница

ivdos

Компьютерная безопасностьпаролисливбаза данныхпесочница

Слили 300 миллионов уникальных паролей

Соус: https://geektimes.ru/post/291757/ 

База с паролями: https://haveibeenpwned.com/Passwords

Важно, перед вводом пароля для проверки очень желательно перевести его в sha1 http://www.sha1-online.com/

Из интересного, у меня 2 из 5 основных паролей находятся в базе.

Preview

О посте

Комментарии

34

05.08.17, 10:20

-2,9

точно. ребята, вот база паролей, вводите туда свои, чтобы проверить) даже если не фейк не очень-то хочется проверять.

Jifd

05.08.2017, 10:24

ссылка

+4,8

Так и введут, поверь.

Radio

05.08.2017, 10:26

ссылка

+1,0

Я же специально предупредил, что вводить стоит хеши своих паролей, а не в открытом виде.

ivdos

05.08.2017, 10:28

ссылка

-0,5

Хеш без соли не такой уже и безопасный...

AshB

05.08.2017, 19:47

ссылка

0,0

Ну скажи какие могут быть неприятности кроме перебора по словарям или же тупого брутфорса?

ivdos

05.08.2017, 20:33

ссылка

-0,3

Да что ты, никаких. Ну нельзя же никак считать хеши на амазоновских кластерах или пользоваться уже готовыми сервисами по вскрытию хеша.

AshB

05.08.2017, 20:37

ссылка

0,0

Эм, именно об этом я написал в сообщении выше. Но есть небольшие НО. Ради одного твоего хеша никто не будет тратить огромные ресурсы и время для коллизии, ниже я уже писал почему. Сразу пачкой хеши обрабатывать еще дольше, существенно дольше, так-как неизвестно сколько там возможных символов.

ivdos

05.08.2017, 21:07

ссылка

-0,3

И потому мы дадим им или сразу пароли или хеши, чтобы потом можно было размерено вскрывать их и пополнять онлайн базы для последующей продажи. Хорошая идея.

Сама по себе база хешей паролей, которые практически используются пользователями - хорошая находка, а в добавок к этому мы чтобы получить хеш введем пароль в открытом виде на другом сайте, который пары хеш-пароль сохраняет как пить дать...

Не все хорошо, у меня пртензий нет. Безопасность идеи на уровне.

AshB

05.08.2017, 21:14

ссылка

0,0

Комментов: 1

Ща пойду вводить свои все свои пароли, в какие-то базы, которые сами их и собирают и сливают потом. Только штаны подтяну и проверю.

borgulio

05.08.2017, 10:28

ссылка

+2,6

А читать мы не умеем? Да даже написано на сайте проверки как нужно вводить, что бы не скомпрометировать свой. Для этого придуманы хеши.

ivdos

05.08.2017, 10:30

ссылка

-1,7

Если ты не в курсе, то пароли на ресурсах хранятся в хэшированном виде (в изначальном виде пароли хранят только дауны) и при авторизации проверяется не твой пароль, а его хэш, который формируется на твоей стороне. При совпадении хэшей твоего и хранящегося на ресурсе тебя пускают. Так что вводи хэш своего пароля, чтобы он сохранился в их базе данных и потом его можно было использовать, чтобы взломать твой акк.

lexasan

05.08.2017, 12:06

ссылка

+0,1

Ты наркоман? Найти хеш можно лишь по словарю, либо с помощью брутфорса. Ну запишется хеш пароля которого нет в базе, как это поможет? Они никак не узнают пароль, тем более если он хитровыебан. И да, хешируется пароль на сервере, а не на твоей стороне. Если хочешь убедиться возьми исходники вордпресса или другого движка, можешь с помощью консольки проверить какие данные отправляются на сервер, например джоя.

ivdos

05.08.2017, 12:25

ссылка

-0,5

Видимо, ни одного меня смутил оратор выше.

nenormalka

05.08.2017, 12:28

ссылка

+0,0

Ну хорошо, пусть пароль отправляется по защищенному каналу и хэшируется уже на сервере, согласен, тут я херню сморозил. Но знание твоего хэша это полпути к твоему паролю. Один путь - это взлом сервера авторизации, используя его уязвимости через, например, подмену функции генерации хэша и сравнение его в данными в БД на свою функцию, которая просто будет подсовывать твой правильный хэш и таким образом авторизация пройдет. Другой путь - подбор пароля по хэшу, сейчас много технологий подбора и весьма быстрых (например использование радужных таблиц). В любом случае я бы не стал палить хэш паролей на каких то недоверенных сайтах, кроме того нет никакой гарантии, что на http://www.sha1-online.com/ нет логирования пары пароль - его хэш (можно даже сказать что оно гарантированно есть), кроме того шифрование SHA-1 уязвимо, это упростит подбор. Тут справедлива поговорка: если тайну знают двое, то это уже не тайна. Я может излишне параноидален, но если никто не будет знать даже хэш, то подступиться у логину будет куда сложнее. В любом случае это лично мое мнение ни на что не претендующее. Что я хотел сказать - не стоит вводить свою авторизирующую информацию нигде ни в каком виде, кроме мест, где ты авторизуешься.

lexasan

05.08.2017, 13:19

ссылка

0,0

"подмену функции генерации хэша и сравнение его в данными в БД на свою функцию" - имея доступ такого уровня можно с этим вообще не заморачиваться и устроить хранение паролей в открытом виде с последующей пересылкой данных на удаленный сервер. Но это из разряда близкого к нереальности, можно сравнительно легко получить доступ к данным в БД, но вот к полному доступу файлов на сервере вряд ли.
"например использование радужных таблиц" - все это работает по словарю, если у тебя пароль имеет цифры и разные регистры и он достаточно уникален, подобрать такой невозможно. Если маленький шанс того, что такой же хеш как у твоего пароля будет у другого слова, но он очень мизерный.
По поводу перевода в sha1 существуют вполне себе оффлайновые средства. Я виноват, что сразу не сказал это. В любом случае при сильном пароле никак нельзя расшифровать хеш, только полным брутфорсом на который уйдут века.

ivdos

05.08.2017, 14:08

ссылка

-0,1

К сожалению, уже не века, более менее сложный пароль подбирается секунд за 10 (загугли про эти радужные таблицы на SSD дисках), данным методом сложно взломать пароль только если в нем присутствуют дополнительные ASCII символы, но этим большинство пользователей не заморачивается.

lexasan

05.08.2017, 14:51

ссылка

0,0

Комментов: 5

Не совсем понял, что ты имел ввиду. Кроме тебя, твой пароль никто не знает. Сервер знает только его хэш, который хранится в базе. Насколько мне помнится, после отправки пароля, хэш формируется на стороне сервера, которой потом сравнивает, хэш от пароля, который только что ввели с хэшем в базе. Для его создания используется односторонняя функция. Если совпал, то пустило. Каким образом показав хэш кому-то, можно отдать свой пароль?

nenormalka

05.08.2017, 12:27

ссылка

0,0

Только к скрипту авторизации уходит пароль, а не хеш (строящийся по паролю и "соли").
Так что чтобы это применить - надо дехешировать хеш :-)

alex4321

05.08.2017, 12:35

ссылка

0,0

- Кажется я на придумал пароль, которого нет в базе.
- Теперь есть.

Niissoks

05.08.2017, 10:36

ссылка

+0,6

сейчас привязка к телефону у 90% боле-мене значимых сервисов. так что похуй

AHmuxpuCT

05.08.2017, 10:38

ссылка

+1,6

dim22

05.08.2017, 11:11

ссылка

+7,3

Момо Апельбах, традиционно.

Gyromitra

05.08.2017, 11:51

ссылка

+4,2

Yerochay Blumenmann однако ..

Dilbert_17

06.08.2017, 08:27

ссылка

0,0

Как и предполагалось, пароль для всяких помоек в базе, а нормальные пароли пока ещё нет.

enormis

05.08.2017, 11:13

ссылка

0,0

Уже есть

Licemer61

05.08.2017, 16:44

ссылка

0,0

Вам предлагается вводить пароль на www.sha1-online.com, что бы не засветить его на haveibeenpwned.com. Если вам показалось это логичным, у меня для вас плохие новости.

takezi

05.08.2017, 18:52

ссылка

0,0

Специально для параноиков которые к тому же как и я не умеют в программирование даже код приведён, который просто можно скопипастить в IDE, скачать базу, и полностью оффлайн проверить.

Preview

enormis

05.08.2017, 19:53

ссылка

0,0

и, если совпадений не найдено - добавить.

alien4ever

07.08.2017, 15:32

ссылка

0,0

Чтобы написать коммент, необходимо залогиниться