Innhold
- Have I Been Pwned-skaper Troy Hunt kunngjorde datainnbruddet for samling 1.
- Samlingen av filer inneholder millioner av kompromitterte e-postadresser og passord.
- De kompromitterte dataene angivelig kommer fra 2000 databaser.
Datainnbrudd har blitt så vanlige i dag at vi nesten har blitt følelsesløse for dem. Imidlertid rapporterte sikkerhetsforsker og Have I Been Pwned-skaperen Troy Hunt nettopp et datainnbrudd som vil skade lenge: Samling nr. 1.
Samling nr. 1 er en massiv fil som nylig ble lastet opp til skylagringstjenesten Mega. Filen har 12 000 separate filer som inneholder 87 GB data.
Hva ligger i dataene, kan du spørre? 772 904 991 unike e-postadresser og 21 222 975 unike passord. Et betydelig problem er de stjålne passordene som har sprukket beskyttende hashing. Det er grunnen til at passordene vises som ren tekst i stedet for å kryptografisk hashes når nettstedene ble brutt.
Send nå e-post til 768 253 personer som abonnerte på varsler og ytterligere 39 923 som overvåker domener ...
- Troy Hunt (@troyhunt) 16. januar 2019
Disse spreke passordene gir mulighet for en ny utgave, en praksis som kalles legitimasjonsstopping. Legitimasjonsstopping er når brudd på brukernavn eller e-post / passordkombinasjoner deretter brukes til å komme inn på andres konto. Angripere trenger ikke å brute kraft eller gjette passord - de kan bare automatisere påloggingene.
Legitimasjonsstopping er spesielt viktig for de som bruker samme brukernavn og passordkombinasjon på tvers av nettsteder.
Det skjer bare slik at samling nr. 1 inneholder nesten 2,7 milliarder kombinasjoner. Det hender bare slik at omtrent 140 millioner e-postadresser og 10 millioner passord fra samling nr. 1 er nye i databasen Have I Been Pwned.
La oss heller ikke glemme den desentraliserte naturen til samling nr. 1. Tidligere brudd hadde vanligvis et sølvfor: hvert brudd kunne knyttes til ett nettsted. Ikke slik med dette bruddet, som består av brudd på over 2000 databaser.
I dette tilfellet er det eneste mulige sølvforet at Hunt ikke vet om hvert eneste brudd i samling nr. 1 er legitim. Imidlertid sa Hunt også at dette er "det største bruddet som noensinne er lastet inn i HIBP."
Hva burde jeg gjøre?
Gå først til Have I Been Pwned og skriv inn e-postadressen din. Nettstedet gir deg beskjed om en konto som bruker den e-postadressen ble kompromittert.
Hvis du allerede brukte Have I Been Pwned, skal du ha mottatt en melding om bruddet. Nesten halvparten av nettstedets brukere blir fanget opp i bruddet, så husk det hvis du er medlem.
Derfra klikker du påpassord -fanen på toppen av Have I Been Pwned. Pwned Passwords lar deg vite om passordet ditt ble kompromittert og hjelper deg å bruke sterke passord.
Hvis du har en kompromittert e-postadresse og kompromitterte passord, er det på tide å rydde opp i passordspraksisene dine. Hvis et nettsted støtter det, bruk tofaktorautentisering. Det er kanskje ikke idiotsikkert, men tofaktorautentisering hjelper til med å motvirke de fleste som vil ha tilgang til kontoen din.
Du kan også unngå å bruke det samme passordet på flere nettsteder. Det er fristende å bruke det samme passordet for bekvemmelighets skyld, men praksisen er et farlig tostrøydt sverd.
Bruk til slutt en passordbehandling. 1Password, Dashlane og LastPass er tre av de mer populære alternativene der ute, selv om du også kan bruke den velprøvde metoden for penn og papir.
Oh, og endre passordet ditt. Endre passordet ditt. Gjør det til noe sammensatt, noe som ikke finnes i en ordbok.
