БЛОГ / КОММЕНТАРИИ

Кто сливает ваши пароли

жулики

02.11.2018 12:39

Предыдущая запись Следующая запись

Комментарии 38

Мне приходило письмо счастья с моим старым паролем от LinkedIn

AnatoliD

03.11.18 02:07

0 0

А вот что нам на корпоративные e-mail'ы пришло, широким веером:
こんにちは！

私は数ヶ月前にあなたの電子メールとデバイスをクラックしたハッカーです。
あなたが訪問したサイトの1つにパスワードを入力君た。それを傍受しました。

もちろん、それを変更したり、すでに変更したりすることができます。
しかし、それは問題ではありません、私のマルウェアは毎回それを更新しました。

私に連絡したり、私を見つけようとしないでください。それは不可能です。私はあなたのアカウントからメールをあなたに送ったので、

あなたの電子メールを介して、私はあなたのオペレーションシステムに悪質なコードをアップロードしました。
私は友人、同僚、親戚とのあなたの連絡先のすべてを保存し、インターネットリソースへの訪問の完全な履歴を保存しました。
また、あなたのデバイスにトロイの木馬をインストールしました。

あなたは私の唯一の犠牲者ではない、私は通常、デバイスをブロックし、身代金を求める。
しかし、私は頻繁に訪れる親密なコンテンツのサイトにショックを受けました。

私はあなたの幻想にショックを受けている！私はこれのようなものを見たことがない！

だから、あなたがサイトで楽しむとき（あなたは私が何を意味するか知っています！）
あなたのカメラのプログラムを使用してスクリーンショットを作成しました。
その後、私はそれらを現在閲覧されているサイトのコンテンツに結合しました。

これらの写真を連絡先に送信すると素晴らしいことがあります。
しかし、あなたがそれを望んでいないと確信しています。

したがって、私は沈黙のためにあなたからの支払いを期待しています。
私は$854が良い価格だと思います！

あなたがこれを行う方法を知らない場合 - Googleに「BTCウォレットに送金する方法」を入力します。難しくない。
指定された金額を受け取ると、妥協しているすべての材料は自動的に破壊されます。私のウイルスはあなた自身のオペレーティングシステムからも削除されます。

私のトロイの木馬は自動アラートを持っています。私はこのメールを読んだ後でメッセージを受け取ります。

私はあなたに支払いのための2日間を与える（正確に48時間）。
これが起こらない場合 - すべてのあなたの連絡先はあなたの暗い秘密の生活からクレイジーショットを取得します！
あなたが妨害しないように、あなたのデバイスはブロックされます（また、48時間後）

ばかなことしないで！
警察や友人はあなたを確実に助けません...

p.s. 私はあなたに将来のアドバイスを与えることができます。安全でないサイトにはパスワードを入力しないでください。

私はあなたの慎重さを願っています。
お別れ。

ТО же самое, но на чистом японском языке )))

Vld_Sergio°

02.11.18 22:45

0 0

у меня имеется специальный технический e-mail, который нигде вообще не светится и ни для какой переписки не используется - вот на него и заводятся регистрации.

Это шаг в правильном направлении, но половинчатый. У меня для каждой регистрации свой, уникальный email.

BOPOHOK

02.11.18 21:11

1 1

Ко мне вообще пришло требования типа "I'm a hacker who cracked your email and device a few months ago. You entered a password on one of the sites you visited, and I intercepted it.", только пароля моего там никакого нет. И нагло требует 836 уе в биткоинах. Совсем обнаглели детишки.

oleg360

02.11.18 19:25

0 0

Генератор наверно. Причем spam mail relay где-то в Камбодже с открытым на весь интернет telnet (2018 год, Карл!) портом.

oleg360

Sergey

02.11.18 20:19

0 0

С меня 822 доллара. Интересно по какому принципу назначаются суммы?

Sergey

oleg360

02.11.18 19:38

0 0

Позавчера пришло аналогичное послание на мой корпоративный ящик. Правда пароль был в письме указан первичный, который я поменял практически сразу. Поскольку почта рабочая, так сказать государственного значения, то отнес данное письмо в местный отдел ФСБ вместе с заявлением. Ждём-с продолжения

Sergey

02.11.18 15:23

0 3

А почему меня должно волновать, что мои друзья будут знать, где я смотрю порнуху? Да бога ради. 😄

runcyclexcski

Setur

02.11.18 20:54

0 0

В письме было обещано разослать скрины сайтов и запись с веб-камера по всем адресам из адресной книги. Сижу. Жду. Прошли уже сутки с часа Ху

Sergey

Setur

02.11.18 16:52

0 0

Примерно так и я давно уже поступаю. Где-то валяются, наверное, еще старые, 20-летней, а то и больше, давности пароли на ресурсы, про которые я и забыл. Регистрировались они тогда на емейл, который я сейчас поддерживаю, но больше ни для чего, кроме получения спама и старых нотификаций не использую. Конечно, у меня сейчас есть несколько ящиков, которые так просто не светятся, и на которые и зарегистрированы важные акаунты. Некоторые пароли я помню просто потому, что мало ли что (хотя я их регулярно меняю). Но моя система позволяет сделать такой пароль и сравнительно длинным (15+ символов), и для меня лично запоминаемым, но, в то же время, даже узнав мою систему, мало кто способен понять ее суть, ибо мало кто поймет, на что там вообще идет завязка, а если еще учесть игры моего сознания, которое часто подменяет реальность на воображаемые, но очень устойчивые штуки, то - только паяльник, только паяльник!

Serg Lakhno

02.11.18 14:57

0 0

Концепция «один пароль - один ресурс» мне близка. Но это, как уже описано, не панацея. Где грань, за которой паранойя?

Gilmir

02.11.18 14:48

0 1

Блин, коллеги будьте проще.
К сожалению, утечки учетной информации случаются периодически. Зайдите на haveibeenpwned.com введите свое мыло и посмотрите в каких утечках фигурирует Ваш адрес.
Я про себя нашел Adobe, утечку данных с формуа SD Project Red (про этих даже вспомнил что в свое время было письмо "срочно меняйте пароль, нас ломанули")б QIP и еще 4.
Не удивлюсь, что у кого-то в этом списке будет и LiveJournal.

Torch

02.11.18 14:40

0 0

А кто настолько "мудр", что пишет сам не зная на что он отвечает?
Трудно как-то вас заподозрить, что вы вникали в принцип работы haveibeenpwned.com, думаю вы вообще раньше о таком не знали.
Поздравляю господин ляпнувший.

Arelav

Setur

02.11.18 21:34

0 0

Алекс, а на этом сайте как пароли хранятся?

runcyclexcski

02.11.18 14:02

0 1

говорят для каких то слов сложнее...

runcyclexcski

Torch

02.11.18 17:14

0 0

интересно, спасибо. а как узнать по сайту, как там поступают c паролями. сейчасcaмые лоховские магазины регистрации хтэотят. достали. я по этой причине на амазоне стал все покупать. даже если дороже. надолело всяким лохам формы заполнять.

runcyclexcski

Al.X

02.11.18 17:13

0 0

бщий принцип давно один. Берём хеш от пароля и пишем его в базу. Даже если базу уведут, получат кучу безтолковых символов вместо пароля.

Если есть хеши, то перебором можно вычислить из чего их получили, ресурсоёмко, но при хорошем словаре и большом ботнете можно очень много реальных паролей наковырять.

Вот пароли из 36 символов - это реально только сливом самих паролей в открытом виде или через вирус на компе при вводе.

Al.X

Setur

02.11.18 15:19

0 0

И что?

только то, что там некому имплементировать накопленные за эти годы best practices. И в итоге, пароли хранятся так как было принято во времена царя Гороха...

Mogol

Setur

02.11.18 15:05

0 0

Почитайте про радужные таблицы. Для достаточно большого количества паролей уже посчитаны хеши, и можно не подбирать пароль перебором а найти пароль по хешу.
Поэтому хеши "солят"

Torch

Setur

02.11.18 14:43

0 3

Этого, к сожалению, мало.
Правильный принцип такой: берем пароль, индивидуально солим его, и скармливаем специальной криптографической хэш-функции. Хэш вместе с солью пишется в базу.
Почему именно так?
1. Нужна правильная функция. md5, sha1 созданы быть быстрыми, поэтому взламываются на современном оборудовании (GPU) очень бодро. Нужна медленная непараллелящаяся функция.
2. Соль, обязательно индивидуальная: если соли нет, или она у всех одинаковая, то можно построить "радужную таблицу". Это такая таблица, где на каждый пароль есть свой хэш. Понятно, что не на каждый, но на все словарные и слабые пароли вполне можно сгенерировать. Даже если функция у нас хорошая, медленная.

Ogra

Setur

02.11.18 14:37

0 4

Общий принцип давно один. Берём хеш от пароля и пишем его в базу. Даже если базу уведут, получат кучу безтолковых символов вместо пароля.

проблема в том, что есть куча заброшенных или слабообновляемых сайтов, которые когда-то были популярными...

Mogol

Setur

02.11.18 14:33

0 0

Проверил пароль и базу. У меня пароль слит с сайта "Из рук в руки".
Нуачо, передали из своих рук в руки застенчивых хакеров)

Ironsea

02.11.18 13:56

0 3

сам виноват, по названию мог бы догадаться)

runcyclexcski

Ironsea

02.11.18 17:16

0 0

lleo Каганов подтверждает:
lleo.me

Doctor Notes

02.11.18 13:56

0 3

Слил не только Суп/LJ.
Судя по присылаемым мне спам-письмам, также и NNM-Club, и еще толпа всякой мелочи.

Dmitry Bolkhovityanov

02.11.18 13:51

0 0

NNM не слил
99.99% продали 😄

IB_temp

Dmitry Bolkhovityanov

02.11.18 15:41

0 0

Слил не только Суп/LJ.Судя по присылаемым мне спам-письмам, также и NNM-Club, и еще толпа всякой мелочи.

Ну да, вплоть до некоторых техсаппортов.
Причём, как ни странно, к нам на русском писать стесняются, зато взамен вовсю стараются китайцы.

Праздный гуляка

Dmitry Bolkhovityanov

02.11.18 14:03

0 0

2 раза приходило. Подмывало ответить, что они пишут Senior DevOps ... Cybersecurity, но потом просто решил забить. Кстати, пароли похожие, но не те, что я использую

azulen

02.11.18 13:37

0 0

Блин. Хорошо у меня в свое время хватило ума какую-то херню написать в пароле от ЖЖ. Которую я тут же и забыл.

d.gray

02.11.18 13:36

0 0

Да, приходили такие, причем там явные опечатки:
"i have been spying on you for some tome" (опечатка не моя) и главное что "все записано с моей вебкамеры", которой у моего домашнего компьютера нет. От слова "совсем".

Pirx73

02.11.18 13:34

0 0

Я всегда теперь могу проверить, какой сервис их слил (или у какого сервиса их украли).

А заодно, кто его хранит в оригинале, а не хэш.

Michaell

02.11.18 13:26

0 6

или в хеше без соли.

rb3

Michaell

02.11.18 13:32

0 1

Во-во.

Alex Exler

Michaell

02.11.18 13:26

0 1

А самый главный вопрос нахера они их хранят?

Nitro Junkie

02.11.18 13:02

0 0

Тут варианты разные есть. Начиная от элементарного распиз...ва и заканчивая тем, что их потом можно передать в условный ФСБ. Потому что многие держат один и тот же пароль на все ресурсы

Deryni

Nitro Junkie

02.11.18 13:15

0 1

буквально на днях тоже самое Каганов писал... lleo.me

Mogol

02.11.18 13:01

0 6

спасибо спамерам, хоть пароль от жж напоминают, еще б логин напомнили, а то я и его забыл 😄

CatBasil

Alex Exler

02.11.18 18:16