Er ditt passord trygt? Sjekk mot denne databasen med 306 millioner hackede passord

[Gjest Marius B. Jørgenrud]

Er ditt passord trygt? Sjekk mot denne databasen med 306 millioner hackede passord

[nomore]

Stoler man på at passordet ikke blir lagret når en her "sjekker"?

[tommyb]

Hvor ofte og hvor mange forskjellige plasser bør man sende inn passord til sjekking? ^^,

[Gjest Slettet-376f9]

Hvordan i granskauen får du tak i 306 millioner passord uten å være kriminell? Og hvordan vet du at det er lekkede passord?

 

AHA! Passord som sjekkes mot databasen legges INN i databasen og anses som lekkede.

Endret 4. august 2017 av Slettet-376f9

[Rudde]

Hvordan i granskauen får du tak i 306 millioner passord uten å være kriminell? Og hvordan vet du at det er lekkede passord?

 

Fordi de som lekker de ofte publiserer de offentlig for alle å laste ned?

[_Nils_]

Stoler man på at passordet ikke blir lagret når en her "sjekker"?

 

Det er jo derfor de anbefaler å ikke sjekke de passordene du bruker nå... får lasthe ned hash-fila og sjekke selv manuelt heller

[sedsberg]

Minner meg om denne klassikeren:

[Eriksendrul]

Hvor lang tid vil det ta og for et programm og finne et passord om det består av 32 nummer og bokstaver ?

[Gjest Slettet-376f9]

"Craig Smalley is eight years old, and is dying of cervical cancer. Before he dies, he wants to have the world's largest collection of credit card numbers, complete with exipration date and CVCcode. Please make a small boy happy and send your contribution to [email protected]."

[0laf]

Hvordan i granskauen får du tak i 306 millioner passord uten å være kriminell? Og hvordan vet du at det er lekkede passord?

 

Ligger åpent på nett, dersom man vet hvor man skal søke.

 

Et greit sted å starte er jo rett og slett Github -> https://github.com/danielmiessler/SecLists/tree/master/Passwords

 

 

Hvor lang tid vil det ta og for et programm og finne et passord om det består av 32 nummer og bokstaver ?

 

Det kommer an på maskinen, passordet, samt en rekke andre ting, men generelt sett vil det ta uendelig lenge på en vanlig datamaskin.

 

Dersom man sier at passordet har 36 mulige tegn, og en lengde på 32, så blir det 36^32, som gir ...

 

63 340 286 662 973 288 352 960 464 472 472 200 696 600 848 480 320

 

...mulige permutasjoner, som vil ta hundrevis av år gå igjennom.

 

Man kan selvfølgelig også være heldig å treffe på første forsøk, men sannsynligheten er altså 1 til ... nummeret ovenfor!

[The Avatar]

Hvordan i granskauen får du tak i 306 millioner passord uten å være kriminell? Og hvordan vet du at det er lekkede passord?

 

AHA! Passord som sjekkes mot databasen legges INN i databasen og anses som lekkede.

Det er vell helst at sålangt har databasen sjekka 306 millionar passord, etter at nestemann har sjekka så har databasen 306 000 001 passord. Endret 4. august 2017 av The Avatar

[0laf]

Det sjekkes altså om passordet er pwned, det er det dersom det finnes i de vanligste passordlistene.

 

Det har altså ingenting for seg at tjenesten lagrer passord etterhvert som de tastes inn, og så neste gang sier at passordet er pwned, da fungerer ikke tjenesten etter hensikten.

[nomore]

Det sjekkes altså om passordet er pwned, det er det dersom det finnes i de vanligste passordlistene.

 

Det har altså ingenting for seg at tjenesten lagrer passord etterhvert som de tastes inn, og så neste gang sier at passordet er pwned, da fungerer ikke tjenesten etter hensikten.

Alternativt aldri si at passordet er stjålet. Det vil jo være mot sin hensikt i seg selv for når folk blir klar over at passordet er stjålet blir det byttet. Enkleste er å lagre passordet og alltid si "ditt passord er trygt - vil du sjekke e-postadressen din også?".

[Gjest Slettet-kZbtLvnJ]

alt som har blitt lagret google kontoen er blitt kjent, de som ikke har blitt lagret google konto er ukjent/safe.

[tHz]

Til de som ikke her forstår hva denne tjenesten gjør.

 

Den er satt opp av Troy Hunt, som er et kjent fjes innen utvikling/sikkerhet. Du finner blog, twitter og alt annet lett på google.

Han er ofte på konferanser og var sist på NDC (Norwegian Developer Conference) 2017 på Oslo spektrum i juni. 

Denne siden er nå så kjent at han blir kontaktet av folk som innehar datadump av logindetaljer fra forskjellige steder. 

 

Man skriver ikke inn passord, kun epost. Den sjekker da opp eposten mot diverse datadumps som ble lagt ut fra LinkedIn, Adobe, etc. 

Den sier kun om eposten finnes i noen av databasene, samt om passordet som tilhører var lett å hente ut (dårlig hash algoritmet etc).

 

Man legger med andre ord IKKE inn både brukernavn og passord.

 

Det er i det hele tatt en bra tjeneste.

[Tastaturskriver]

Å legge inn e-post er jo etter min mening enda verre.

[tommyb]

Å legge inn e-post er jo etter min mening enda verre.

 

Dette er en relativt høyprofilert tjeneste, så dersom den skulle vise seg å være ondsinnet, vil det riste litt opp i miljøene. 

 

Når det er sagt, så har de altså *både* en tjeneste for å sjekke om eposten/brukernavnet ditt er stjålet, OG for å sjekke om passordet ditt er kjent. Legger du inn begge, burde du altså ha fulgt den instruksen om å kun teste passord du ikke lengre bruker. 

[sedsberg]

Legg merke til at på siden står det at du ikke skal skrive inn passord som du bruker.
 

Do not send any password you actively use to a third-party service - even this one!