Onderzoeker zet 306 miljoen gehashte wachtwoorden online
Beveiligingsonderzoeker Troy Hunt heeft een verzameling van 306 miljoen gehashte wachtwoorden beschikbaar gemaakt, die websites bijvoorbeeld kunnen gebruiken om gebruikers voor bepaalde wachtwoorden te waarschuwen. Hunt is de man achter Have I Been Pwned. Een zoekmachine waarmee gebruikers in bijna 4 miljard gestolen records kunnen kijken of hun data ooit bij een website is gestolen.
De gegevens in de database van Have I Been Pwned zijn uit allerlei datalekken afkomstig. Hunt maakt gegevens uit datalekken normaliter niet openbaar. Het Amerikaanse National Institute of Standards and Technology adviseerde onlangs dat organisaties gebruikers moeten waarschuwen als ze een wachtwoord kiezen dat ooit bij een datalek is gelekt. Naar aanleiding van dit advies besloot Hunt een deel van de wachtwoordhashes die hij bezit en uit verschillende datalekken afkomstig zijn, te anonimiseren en openbaar te maken. Zelf noemt de onderzoeker deze dataset de "Pwned Passwords".
Websites kunnen de data gebruiken om gebruikers te waarschuwen als ze een wachtwoord kiezen dat in de dataset voorkomt. Het gaat dan bijvoorbeeld om wachtwoorden als 123456 en password. Ook kan de dataset worden gebruikt om op de sha-1-hashes van de wachtwoorden te zoeken. Iets waarvoor Hunt een programmeerinterface (api) heeft ontwikkeld. De dataset is ook te gebruiken om wachtwoorden offline te checken. Het gaat om een 7-Zip-bestand met een omvang van 5,3GB, dat uitgepakt 11,9GB aan ruimte in beslag neemt.
Ik ga dit in ieder geval nooit maar dan ook nooit gebruiken en raad anderen aan dit ook niet te doen.
Ik ga dit in ieder geval nooit maar dan ook nooit gebruiken en raad anderen aan dit ook niet te doen.
het zou ook een handige manier zijn om een database vol met geldige wachtwoordhashes op te bouwen :D
Alles tegenwoordig is een kwestie van TRUST online en je kunt dingen ter goeder en terkwader trouw publiceren.
Hier is de grens wel ietwat 'grijs', maar ik denk dat er zeker "spooks" zullen bestaan, die niet anders doen dan gelijkaardige info misbruiken of gebruiken, zoals zij dat liever zullen aanduiden. Het is maar hoe je er naar kijken wil.
Security through Obscurity wordt meer en meer overal gepropageerd en ondersteund.
Lees bij voorbeeld eens wat deze researcher overkwam die WannaCry stopte, na DefCon werd hij gearresteerd door de FBI en men weet niet waar hij heen is gebracht. Re: https://motherboard.vice.com/en_us/article/ywp8k5/researcher-who-stopped-wannacry-ransomware-detained-in-us-after-def-con link bron = Motherboard's Joseph Cox
Het lijkt "Nacht und Nebel" wel. Security research kan je zo maar opbreken.
Voor de lol een paar wachtwoorden invullen om uit te proberen kan wel.
De suggestie is dat websites de downloadable database gaan downloaden en zullen gebruiken om wachtwoorden van hun gebruikers te keuren. Als het wachtwoord van een gebruiker in de database voorkomt (of als hashes overeenkomen), kan een website vragen om een nieuw wachtwoord, omdat het geen origineel wachtwoord is.
Op zich is dat nog niet zo'n gek idee, maar ik moet het nog zien of er animo voor is.
Er zijn al lijsten waar 10 jaar werk aan is geweest met compilaties van andere lijsten die op internet te vinden zijn, etc. Ik heb zelf ook van zulke lijsten. Niet dat ik ze ooit gebruikt heb. Het zijn gewoon veelvoorkomende wachtwoorden en woordenboeken.
Ik vind dat wel fijn, bijv. als je ooit een betaalapp of website moet bouwen waar je gekozen wachtwoorden van nieuwe gebruikers even wilt checken tegen zo'n lijst in plaats van een regex op "hoofd/kleine-letters, X cijfers en Y leestekens".
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
