Слили 300 миллионов уникальных паролей / Компьютерная безопасность :: пароли :: слив :: база данных :: песочница

Компьютерная безопасностьпаролисливбаза данныхпесочница

Слили 300 миллионов уникальных паролей

Соус: https://geektimes.ru/post/291757/

База с паролями: https://haveibeenpwned.com/Passwords

Важно, перед вводом пароля для проверки очень желательно перевести его в sha1 http://www.sha1-online.com/

Из интересного, у меня 2 из 5 основных паролей находятся в базе.

Опубликована база с 320 млн уникальных паролей (5,5 ГБ)
Й Информационная безопасность
Selling part of database, there good for PSN, Origin, PayPal, Amazon, Ebay and many many other.
в АнтиПаблик Ьу SoloSuiode [ZABUGOR EDITION]
Всего: 300000 Пройдено: 300000 Приват: ] 218812 Паблик: Неверные

точно. ребята, вот база паролей, вводите туда свои, чтобы проверить) даже если не фейк не очень-то хочется проверять.

05.08.2017, 10:24

+4,8

Так и введут, поверь.

05.08.2017, 10:26

+1,0

Я же специально предупредил, что вводить стоит хеши своих паролей, а не в открытом виде.

05.08.2017, 10:28

-0,5

Хеш без соли не такой уже и безопасный...

05.08.2017, 19:47

0,0

Ну скажи какие могут быть неприятности кроме перебора по словарям или же тупого брутфорса?

05.08.2017, 20:33

-0,3

Да что ты, никаких. Ну нельзя же никак считать хеши на амазоновских кластерах или пользоваться уже готовыми сервисами по вскрытию хеша.

05.08.2017, 20:37

0,0

Эм, именно об этом я написал в сообщении выше. Но есть небольшие НО. Ради одного твоего хеша никто не будет тратить огромные ресурсы и время для коллизии, ниже я уже писал почему. Сразу пачкой хеши обрабатывать еще дольше, существенно дольше, так-как неизвестно сколько там возможных символов.

05.08.2017, 21:07

-0,3

И потому мы дадим им или сразу пароли или хеши, чтобы потом можно было размерено вскрывать их и пополнять онлайн базы для последующей продажи. Хорошая идея.

Сама по себе база хешей паролей, которые практически используются пользователями - хорошая находка, а в добавок к этому мы чтобы получить хеш введем пароль в открытом виде на другом сайте, который пары хеш-пароль сохраняет как пить дать...

Не все хорошо, у меня пртензий нет. Безопасность идеи на уровне.

05.08.2017, 21:14

0,0

Ща пойду вводить свои все свои пароли, в какие-то базы, которые сами их и собирают и сливают потом. Только штаны подтяну и проверю.

,Компьютерная безопасность,пароли,слив,база данных,песочница

05.08.2017, 10:28

+2,6

А читать мы не умеем? Да даже написано на сайте проверки как нужно вводить, что бы не скомпрометировать свой. Для этого придуманы хеши.

05.08.2017, 10:30

-1,7

Если ты не в курсе, то пароли на ресурсах хранятся в хэшированном виде (в изначальном виде пароли хранят только дауны) и при авторизации проверяется не твой пароль, а его хэш, который формируется на твоей стороне. При совпадении хэшей твоего и хранящегося на ресурсе тебя пускают. Так что вводи хэш своего пароля, чтобы он сохранился в их базе данных и потом его можно было использовать, чтобы взломать твой акк.

05.08.2017, 12:06

+0,1

Ты наркоман? Найти хеш можно лишь по словарю, либо с помощью брутфорса. Ну запишется хеш пароля которого нет в базе, как это поможет? Они никак не узнают пароль, тем более если он хитровыебан. И да, хешируется пароль на сервере, а не на твоей стороне. Если хочешь убедиться возьми исходники вордпресса или другого движка, можешь с помощью консольки проверить какие данные отправляются на сервер, например джоя.

05.08.2017, 12:25

-0,5

Видимо, ни одного меня смутил оратор выше.

05.08.2017, 12:28

+0,0

Ну хорошо, пусть пароль отправляется по защищенному каналу и хэшируется уже на сервере, согласен, тут я херню сморозил. Но знание твоего хэша это полпути к твоему паролю. Один путь - это взлом сервера авторизации, используя его уязвимости через, например, подмену функции генерации хэша и сравнение его в данными в БД на свою функцию, которая просто будет подсовывать твой правильный хэш и таким образом авторизация пройдет. Другой путь - подбор пароля по хэшу, сейчас много технологий подбора и весьма быстрых (например использование радужных таблиц). В любом случае я бы не стал палить хэш паролей на каких то недоверенных сайтах, кроме того нет никакой гарантии, что на http://www.sha1-online.com/ нет логирования пары пароль - его хэш (можно даже сказать что оно гарантированно есть), кроме того шифрование SHA-1 уязвимо, это упростит подбор. Тут справедлива поговорка: если тайну знают двое, то это уже не тайна. Я может излишне параноидален, но если никто не будет знать даже хэш, то подступиться у логину будет куда сложнее. В любом случае это лично мое мнение ни на что не претендующее. Что я хотел сказать - не стоит вводить свою авторизирующую информацию нигде ни в каком виде, кроме мест, где ты авторизуешься.

05.08.2017, 13:19

0,0

"подмену функции генерации хэша и сравнение его в данными в БД на свою функцию" - имея доступ такого уровня можно с этим вообще не заморачиваться и устроить хранение паролей в открытом виде с последующей пересылкой данных на удаленный сервер. Но это из разряда близкого к нереальности, можно сравнительно легко получить доступ к данным в БД, но вот к полному доступу файлов на сервере вряд ли.
"например использование радужных таблиц" - все это работает по словарю, если у тебя пароль имеет цифры и разные регистры и он достаточно уникален, подобрать такой невозможно. Если маленький шанс того, что такой же хеш как у твоего пароля будет у другого слова, но он очень мизерный.
По поводу перевода в sha1 существуют вполне себе оффлайновые средства. Я виноват, что сразу не сказал это. В любом случае при сильном пароле никак нельзя расшифровать хеш, только полным брутфорсом на который уйдут века.

05.08.2017, 14:08

-0,1

К сожалению, уже не века, более менее сложный пароль подбирается секунд за 10 (загугли про эти радужные таблицы на SSD дисках), данным методом сложно взломать пароль только если в нем присутствуют дополнительные ASCII символы, но этим большинство пользователей не заморачивается.

05.08.2017, 14:51

0,0

Не совсем понял, что ты имел ввиду. Кроме тебя, твой пароль никто не знает. Сервер знает только его хэш, который хранится в базе. Насколько мне помнится, после отправки пароля, хэш формируется на стороне сервера, которой потом сравнивает, хэш от пароля, который только что ввели с хэшем в базе. Для его создания используется односторонняя функция. Если совпал, то пустило. Каким образом показав хэш кому-то, можно отдать свой пароль?

05.08.2017, 12:27

0,0

Только к скрипту авторизации уходит пароль, а не хеш (строящийся по паролю и "соли").
Так что чтобы это применить - надо дехешировать хеш :-)

05.08.2017, 12:35

0,0

- Кажется я на придумал пароль, которого нет в базе.
- Теперь есть.

05.08.2017, 10:36

+0,6

сейчас привязка к телефону у 90% боле-мене значимых сервисов. так что похуй

05.08.2017, 10:38

+1,6

ПРОВЕРКА БЕЗОПАСНОСТИ “С
Узнайте, есть ли ваша карта в базе данных хакеров! Введите данные, чтобы проверить.
Номер карты:
СУС2:
Проверить!,Компьютерная безопасность,пароли,слив,база данных,песочница

05.08.2017, 11:11

+7,3

Момо Апельбах, традиционно.

Какое ваше f&mn еврейское имя?,^щ
WJV у
1. Mo... 1. ...donai 1. Gold... 1. ...berg
2. He... 2. ...shel 2. Wasser... 2. ...stein
3. Ja... 3. ...mon 3. Edel... 3. ...meyer
4. Schmu... 4. ...mo 4. Bergen... 4. ...owsky
5. Schlo... 5. ...diah 5. Braun... 5. ...heimer
6. Meno... 6. ...chay 6.

05.08.2017, 11:51

+4,2

Yerochay Blumenmann однако ..

06.08.2017, 08:27

0,0

Как и предполагалось, пароль для всяких помоек в базе, а нормальные пароли пока ещё нет.

05.08.2017, 11:13

0,0

Уже есть

05.08.2017, 16:44

0,0

Вам предлагается вводить пароль на www.sha1-online.com, что бы не засветить его на haveibeenpwned.com. Если вам показалось это логичным, у меня для вас плохие новости.

05.08.2017, 18:52

0,0

Специально для параноиков которые к тому же как и я не умеют в программирование даже код приведён, который просто можно скопипастить в IDE, скачать базу, и полностью оффлайн проверить.

$■\ Lister - [g:\3arpy3Kn\pwned-passwords-1.0.txt] □ X □ > Файл Правка Вид Кодировка Справка B1B374C6730C4A5DB9FFAFB84F99F7D6B0F9598D B1B374D9396855DE6FED4A73E874EEB787A0C7BC B1B374DD1ADDB0127FEFF52A3535AEFDA5F 0А049 B1B3750765A98F1EF86CEA2B9F3E252EFC7FB4F2$

05.08.2017, 19:53

0,0

и, если совпадений не найдено - добавить.

07.08.2017, 15:32

0,0

Похожие посты ↓↓↓

3793468, 3399653, 3530198, 4272034, 4183895, 4220691, 5310596, 3411425, 4585728, 3612319, 5270193, 4124028, 4667346, 5490723, 5551750