[n.....s]

A na wykopie dzień jak co dzień czyli kolejna afera z CP i kolejne lamenty zdziwionych użytkowników, że wieloletnie konta przejęte, że zgłoszą serwis do prokuratury, żeby zrobić globalny reset haseł w serwisie.

Ale czy aby na pewno to wina wykopu? Czy globalny reset haseł cokolwiek naprawi?
Moja odpowiedź brzmi: NIE koniecznie!

Za obecną sytuację, z dużym prawdopodobieństwem, odpowiedzialni są użytkownicy i ich fatalne podejście do kwestii polityki haseł i bezpieczeństwa.

Wycieki danych zdarzają się często, chyba od kiedy tylko powstał internet. Wiele tych największych jak i mało popularnych serwisów miało swoje wpadki, przez które dane trzymane na serwerach ujrzały światło dzienne. Dla rozjaśnienia sytuacji proponuję sobie popatrzeć na ładne, interaktywne podsumowanie wycieków z ostatnich lat: informationisbeautiful
Na scenie mamy takie serwisy jak Dropbox, G+, Facebook, Uber, Yahoo, VK, LastFM, Adobe i wielu, wielu innych. A wyciec mogły nie tylko hasła ale i loginy i różne prywatne/publiczne dane, które tam zamieściliśmy.

Na stronie haveibeempowned każdy może sprawdzić czy jego adres mailowy jest w bazie i czy z jego adresem są powiązane jakieś wycieki włącznie z wyszczególnieniem serwisów, z których dane pozyskano. Strona prowadzona jest przez Troya Hunta, dyrektora regionalnego Microsoftu. Jego baza zawiera dane prawie ośmiu miliardów kont i 356 zhackowanych stron. Sama lista haseł to bagatela 11GB danych!

I nie wolno zapomnieć, że powyższe dane to te, o których wiadomo. Ile ich jeszcze krąży w sieci czy to wystawionych na sprzedaż, czy po cichu wykorzystywanych przez hakerów tego się nie dowiemy. Niby każdy serwis, na który doszło do włamania i wycieku danych ma obowiązek zgłosić taki incydent zgodnie z RODO ale jak to faktycznie wygląda..... ¯\(ツ)_/¯

Do czego zmierzam?
Ano do tego, że wcale nie musiało dojść do żadnego incydentu w serwisie wykopu (choć nie twierdzę, że jest to niemożliwe). Najczęściej padają długoletnie konta, a więc z dużym prawdopodobieństwem nikt nie zmieniał na nich haseł od dłuższego czasu. Biorąc pod uwagę iż tendencja Polaków nie różni się jakoś szczególnie od tej światowej w kwestii wymyślania haseł (qwerty, 1234, asdf, admin, hasło) to przy masowej ilości wycieków szansa na odgadnięcie hasła użytkownika drastycznie wzrasta, zwłaszcza jeśli posiadał on identyczne hasło również w innych serwisach.Hasła "słownikowe" i z krążących w sieci baz danych są na wyciągnięcie ręki. Wystarczy odpowiedni skrypt, dostęp do bazy, wykorzystanie luki, błąd na serwerze, celowe działanie "internetowych przyjaciół" i masz prosty przepis na przejęcie komuś konta. Obstawiam, że właśnie na tej zasadzie dochodzi do włamu - metodą słownikową. A nie luką w serwisie, celowym działaniem administratorów czy nawet jakiegoś byłego pracownika wykopu (nie żebym coś insynuował ale takie przypadki nie raz miały miejsce gdy sfrustrowany pracownik zabierał bazę ze sobą do "późniejszego wykorzystania") Teorie spiskowe sobie odpuszczę :D

Mógłbym zacytować nieśmiertelne "co robić, jak żyć" ale na to pytanie znajdziecie wiele odpowiedzi w serwisie niebezpiecznik A od siebie w baaaardzo dużym skrócie mogę poradzić korzystanie z menadżerów haseł jak np.: Keepass i jego odmiany na bodajże wszystkie platformy, ustawianie do każdego serwisu innego hasła (w razie wycieku pozostałe serwisy macie bezpieczne) bardziej skomplikowanego niż "qwerty81" czyli duże i małe litery, znaki specjalne, cyfry (np.: W@DfkLEKj?iFi:sho2hKr_), korzystanie z weryfikacji dwu etapowej (na tyle na ile jest to możliwe) 2FA lub lepiej U2F i przede wszystkim nie przekazywania haseł osobom postronnym (najlepiej nawet zaufanym :))

P.S.
1. pytanie do moderacji wykopu:
- czy zgłaszacie odpowiednim służbom włam na czyjeś konto w celu serwowania treści pedofilskich i przekazujecie wszelkie logi dotyczące konta od czasu jego założenia?
- czy "normalny" użytkownik może się w związku wysyłaniem CP z jego profilu spodziewać nalotu "smutnych panów" i zarekwirowania całego sprzętu?
- dlaczego linki do grafik/filmów są nadal aktywne mimo usunięcia wpisu i zbanowania użytkownika?

2. pytanie do @niebezpiecznik-pl :
- czy użytkownik, który otworzy "zarzutkę" i potem nie zrobi czyszczenia historii, pamięci cache, pliku stronicowania plus dysk na "gutmann 35 pass" :) to może mieć problemy? O ile się orientuję to obecnie już samo oglądanie treści pedofilskich (nie tylko posiadanie) jest karalne. A przecież w logach wykopu na pewno są dane, które wpisy obejrzałem/przeczytałem. Nikogo nie będzie obchodzić czy kliknąłem przypadkiem czy "łyknąłem haczyk". Ślad na urządzeniu zostanie.
- czy użytkownik mający zhackowane konto może być pociągnięty do odpowiedzialności w związku z rozsyłaniem treści pedofilskich przez włamywacza z jego profilu?

Jeśli dotrwałeś/łaś do tego momentu to gratuluję (⌐ ͡■ ͜ʖ ͡■)

#afera #moderacja #niebezpiecznik #hasla #cyberbezpieczenstwo #mojaopinia #nietenteges #pedofilia #pytanie #pytaniedoeksperta #zaufanatrzeciastrona

Aha i jeszcze jedno, przykładowe hasła z pewnego z wycieków, więcej na Z3S w kolejności od najpopularniejszych (z 13.2 mln rekordów z bazy danych) :)

46818 123456
 16682 qwerty
 13093 123456789
 10138 12345
 10113 zaq12wsx
 6538 polska
 6220 111111
 5774 1234
 5182 misiek
 4776 monika
 4418 marcin
 4369 12345678
 4240 mateusz
 4108 123qwe
 4086 123
 4073 1234567
 3933 123123
 3874 1234567890
 3850 qwerty1
 3620 karolina
 3563 agnieszka
 3450 bartek
 3366 polska1
 3351 password
 3348 qwe123
 3343 damian
 3266 1qaz2wsx
 3227 michal
 3025 samsung
 3024 qwerty123
 3020 zxcvbnm
 3000 kacper
 2920 maciek
 2896 kasia
 2885 kochanie
 2841 qwertyuiop
 2816 lol123
 2772 myszka
 2696 kasia1
 2683 666666
 2621 qazwsx
 2615 natalia
 2589 000000
 2583 lukasz
 2519 piotrek
 2516 dupa
 2489 daniel
 2389 madzia
 2383 1q2w3e
 2366 1q2w3e4r
 2327 misiaczek
 2323 patryk
 2241 komputer
 2236 dragon
 2217 haslo1
 2213 adrian
 2208 abc123
 2177 matrix
 2173 mateusz1
 2147 kochamcie
 2128 niunia
 2103 1qazxsw2
 2091 123321
 2077 dupa123
 2027 aaaaaa
 1993 haslo
 1968 marcin1
 1958 weronika
 1953 robert
 1953 justyna
 1952 wojtek
 1945 dominika
 1938 kamil1
 1936 paulina
 1888 kamil
 1883 master
 1878 klaudia
 1864 dominik
 1847 monika1
 1829 123456a
 1780 sebastian
 1778 kocham
 1771 misiek1
 1763 654321
 1748 mariusz
 1741 1234qwer
 1736 komputer1
 1716 dupadupa
 1714 bartek1
 1704 magda
 1674 michal1
 1649 1111
 1648 barcelona
 1636 kamila
 1627 11111
 1626 patrycja
 1620 tomek1
 1619 ewelina
 1586 wiktoria
 1577 marta

[oggy1989]

@nietenteges: Jak już wołasz @niebezpiecznik-pl to może też przy okazji @ZaufanaTrzeciaStrona też będzie miała coś do dodania :)

[n.....s]

@oggy1989: przepraszam, masz rację! Dziękuję.

[ZaufanaTrzeciaStrona]

@oggy1989: @nietenteges: co tu dodawać, jaki koń jest każdy widzi... a zarzutów z przypadkowego wczytania w przeglądarce jednego obrazka nikomu nikt nie będzie stawiał.

[oggy1989]

@ZaufanaTrzeciaStrona:
@nietenteges:
Też mi się wydaje, że nie ma się czego obawiać. Co innego wyświetlenie takiego zdjęcia przypadkowo a co innego przeglądanie takich treści świadomie.

Dodam jeszcze, że reset haseł może też zweryfikować które konta są martwe, tak żeby można było je usunąć albo chociaż dezaktywować. Problemem może być jedynie fakt, że ktoś oprócz przejęcia konta na wykopie przejął także skrzynkę mailową przypiętą do tego konta i może spokojnie zmienić

[n.....s]

@oggy1989: no jeśli ktoś stracił dostęp do maila to u...ebał się po całości i wykop będzie jedynie początkiem.

[oggy1989]

@nietenteges: w takim wypadku już nic nie pomoże

[niebezpiecznik-pl]

@nietenteges: ad 2: nie i nie :)

[n.....s]

@niebezpiecznik-pl: dziękuję za jakże wyczerpującą odpowiedź :)

[n.....s]

@nietenteges: pozwolę od siebie dodać tag #gruparatowaniapoziomu bo z tego co widzę przeczytanie kilku mądrych zdań powyżej 160 znaków to dla wielu czytelników ogromny problem, a lamentom dotyczących rzeczy opisanych w poście nie ma końca. Może w ten sposób uda się dotrzeć do większej grupy osób.

[n.....s]

@PJakPrzegryw: szfuck! Edytować już się nie da (╯︵╰,) Drugi raz wpisu nie będzie, liczy się oryginał .