HUP adatszivárgás?

data breach on a site => valamilyen oldalon amit megtortek ugyanazt a jelszot hasznaltad mint itt

tehat nem a hupon

Haveipwned szerint az én hupos jelszavam is kikerült, ami

- kis és nagy betűket

- speciális karaktert

- számokat 

is tartalmaz.

Minden oldalhoz egyedi jelszót használok, pont azért, hogy kiderüljön, hogy honnan történt a szivárgás.

:(

Soros György feltörte.

Eközben a mellékelt DB “képet” minden blokkolja ami követés ellen van. PC-n és smartphonon egyaránt

Anarchia, totális anarchia,
Aki más az halál fia!

:)

Mivel fogadott? Én nem értem a topik felvezetőjét.

Annak idejen en egyedi emailcimet adtam meg a profilomban az ertesitesekhez. Tutira nem adtam meg senkinek azt, megis elkezdtek spammelni.

Sosem néztem még ilyesmit, de most kipróbáltam 4 db jelszóval, amit használok eltérő weboldalakhoz. A négyből csak a HUP-os volt kiszivárgott a  Haveipwned szerint.

Oldalanként egyedi e-mail címet és egyedi jelszót használok 32 karakterrel (kisbetű, nagybetű, szám, írásjel, password managernek mindegy) - se az e-mail cím, se a jelszó nem található meg az adatbázisukban. (Igen, azóta generáltam újat.)

Ezek alapján vagy nem volt adatszigvárgás vagy nagyon régi lehetett.

Ugye aki égbe-világba küldözgeti a jelszavát, utána nem használja többet és meg is változtatja? :)

Aki biztonságosan akarja ellenőrizni a jelszavát az adatbázisban (sha1-el hasheli, majd a hash első 5 karakterét küldi csak el, firepwned-ból lopva):

import urllib.request
import hashlib
import getpass

PREFIX_LEN = 5
LINE_DELIMITER = ":"
API_URL = "https://api.pwnedpasswords.com/range/"

def is_password_pwned(password):
    hash = hashlib.sha1(bytes(password, "utf8")).hexdigest()
    hash_prefix = hash[0:PREFIX_LEN]
    hash_suffix = hash[PREFIX_LEN:]

    url = API_URL + hash_prefix
    print("Getting", url)
    response = urllib.request.urlopen(url)
    if response.getcode() != 200:
        raise Exception("PwnedPasswords API looks down")

    results = response.read().decode("utf8").split("\n")

    for result in results:
        hash_suffix_candidate, count = result.split(LINE_DELIMITER)
        if hash_suffix_candidate.lower().lstrip() == hash_suffix:
            return (True, int(count))

    return (False, 0)

print("Result:", is_password_pwned(getpass.getpass("Password:")))

Nekem negatív lett a hup-ra egyedi jelszavam:

$ python3 testpw.py
Password:
Getting https://api.pwnedpasswords.com/range/dd51a
Result: (False, 0)

Mert ti nem változtattok rendszeresen jelszót?

Hm, mondjuk ebben a kérdésben 'trey' is megszólalhatna igazán, mint a portál üzelemtetője / tulajdonosa. Legalább annyit hogy "uff" :)

Ellenoriztem, regisztracio ota ugyanaz az egyedi jelszavam az oldalon, no pwnage found!

Nekem is feldobta, de én több oldalon is használtam ugyanezt a jelszót és már sokkal korábban kikerült valahonnan (kb egy, másfél éve), mert spambot megtalálta egy ezer éve nem használt messenger fiókomat vele. Eddig lusta voltam megváltoztatni, most megteszem, örüljön :)

Email, bank és egyéb fontos esetekben úgyis véletlen jelszót használok.

Egyébként aki azt állítja, hogy csak ide használta a generált jelszavát (és azóta ugye megváltoztatta), az nyugodtan kiírhatja plain textben is ide a kikerült jelszót. Az alapján már adatbázisokból meg lehet állapítani, hogy mikor és honnan került ki (ami alapján jelez a böngésző). Egy időben én is gyűjtöttem ezeket, de már nem érdekel. Valakinek viszont biztos megvannak, aki tudna segíteni.

Azért a mostani fullextrás jelszókezelő appok mellett nehogy már gond legyen akár havonta cserélgetni a jelszavakat.

Regisztráció óta nem változtattam jelszót. (Basszus veterán vagyok) Nem került ki elméletileg a jelszavam, pedig annyira nem is erős. Szóval szerintem nem törték meg a hupot.

Akit érdekel a Google megoldásának háttere, itt találja:

https://security.googleblog.com/2019/12/better-password-protections-in-…
https://1.bp.blogspot.com/-1LAW-XXeJhc/XfA42ApKvtI/AAAAAAAABV4/m4EtG0kS…

és a mélyvíz:

https://storage.googleapis.com/pub-tools-public-publication-data/pdf/33…