Миллион рашкодебилов

[mancunian1998]

Более миллиона почтовых ящиков «Яндекса» оказались скомпрометированы: в сети появилась база данных с логинами и паролями пользователей

ру-сру же, чему тут удивляться. Какой дебил в рашечном домене еще что-то держит?

Comments

[phoonzang.livejournal.com]

iCloud тоже недавно обчистили

[mancunian.livejournal.com]

Вроде как русскую прогу юзали, злодеи.

[phoonzang.livejournal.com]

ну вот сейчас и гугл тоже подкачал

[mancunian.livejournal.com]

allegedly

Не в кассу

[taki-net.livejournal.com]

Я сам русофоб, но наброс не по делу.

1. Нет никаких признаков утечки именно из Яндекса, напрашивается версия, что из базы скомпрометированных паролей были выбраны принадлежащие именно Яндексу и опубликованы (число "миллион" очень за эту версию).

2. Яндексы молодцы, что мгновенно отреагировали. заблокировав доступ, а не заняв позицию "проблемы индейцев шерифа не волнуют".

3. Вирус или фишинг-сайту все равно, в каком домене у вас адрес.

4. Если вести речь об общедоступных почтовых службах, то Яндексу одна альтернатива - Гугль. Все остальное отстой.

5. Яндекс, кстати, 100-американская компания.

[krakenrus.livejournal.com]

по п.1
Яндексовские пароли не в яндексовской базе? Как такое может быть?
Только если в какой-то другой базе они вдруг такие же. Но чтобы миллион таких же...

[grey-narn.livejournal.com]

Там пароли открытым текстом выложены. В базе яндекса сам текст пароля храниться не может, там все же не идиоты работают.

[krakenrus.livejournal.com]

Ну даже если хеши, то можно их изрядно подобрать.
А так бывает, что и просто encoded (не думаю, что так в яндеске, но бывает).

[john smith (from livejournal.com)]

> подобрать

Это же какая time complexity у этой задачи.

[krakenrus.livejournal.com]

Небольшая на самом деле.
Вот пример: http://habrahabr.ru/post/107243/
А так - рассуждения про time complexity относятся к временам, когда GPU-ферм не было еще.

[john smith (from livejournal.com)]

Все равно нужно иметь хэши на руках. И даже если взять оптимистичные 5.3 секунды из статьи, все равно получится 61 день работы. Верится с трудом.

И далеко не все алгоритмы эффективно распараллеливаются на GPU фермы.

[krakenrus.livejournal.com]

Ага, я и коментировал толдько ситуацию с наличием хешей.
Я, собственно, не особый специалист, но распараллеливание тут тривиально же.
Алгоритмы для GPU есть готовые, (и даже ботнеты есть готовые). Т.е. тредозатраты тут минимальны.

Я сталкивался лет 12 лет назад с подбором хешей даже на CPU в небольшом тестлабе (компов 30...). Применительно к сейчас это должно быть примерно во столько же раз быстрее, как майнинг какого-нибудь биткоина на GPU-ферме в сравнении с Пентиумом.

[mancunian.livejournal.com]

А теперь, товарищи, давайте послушаем песню "Why does it always rain on me?"

[delox.livejournal.com]

Не стыдно быть таким компьютерно-безграмотным? Это просто физически невозможно выкрасть миллион паролей с сервера в открытом виде. Даже если бы их украли с сервера, пароли были бы в зашифрованном виде.

[akor168.livejournal.com]

Ну да, строго говоря, ни одна приличная система не хранит у себя пароли, и даже не знает их. Она хранит хеш, то есть предположительно одностороннее преобразование пароля в уникальную строку(но здесь есть засада, в случае если хеш-функция плохая, есть программы вычисления по хэшу пароля). Если пользователь забывает пароль, его просто сбрасывают, то есть генерируют временный.

[john smith (from livejournal.com)]

> ни одна приличная система не хранит у себя пароли

Я не могу привести по памяти примеров, но я регулярно натыкаюсь на вполне взрослых сервисах на попытку выслать мне забытый пароль на почту.
А мэйл ру, например, до сих пор работает на CGI(только что смотрел). То есть писали его лет 15 назад и не переписывали до сих пор.

[slonik-v-domene.livejournal.com]

Скажите, почему вы идиот?

[mancunian.livejournal.com]

Почему "украсть"? Слили, конечно.
Рашка же, там маму родную сольют, если о цене договорятся.

[buddhistmind.livejournal.com]

чем яху не угодил?

[wenas-yakima.livejournal.com]

Фишинг на миллион не бывает. Это просто СОРМ. Или слитая база.

ООО Яндекс это 100 процентов русская компания. Она принадлежит голландской. Но это ничего не значит. Потому что ООО полностью под законом РФ. Завтра его закроют. И акционерам останется пустой голландский херъ.

[john smith (from livejournal.com)]

>Фишинг на миллион не бывает.

Exactly.
Но и поверить в то, что яндекс хранит сами пароли а не хэши, я не могу.
А значит товарищи полковники что-то не поделили а начали друг на друга сливать все что есть.

[mancunian.livejournal.com]

Ну да. А мне там ниже всё пытаются объяснить, каким факелом свободы и демократии был и остается яндекс. Смешно же.

[wenas-yakima.livejournal.com]

Яндекс хранит то. Что сказано хранить.

[mancunian.livejournal.com]

5. А новости у них 100% ватные. Загадка!

[taki-net.livejournal.com]

Правительство же им ОФИЦИАЛЬНО, на уровне парламентского расследования, указывает, что их новости русофобские и проукраинские. Они отвечают правительству, что у них не новости (по росс. цензурному закону, они и не имеют права публиковать новости, это могут только "официальные СМИ"), а агрегатор - зеркало росс. прессы.

То же они и Вам ответят.

Вообще, атака на Яндекс (с политическими доносами, в том числе в прессе, общей и профессиональной) идет аккурат с Крымнаша, у нас тут тотализатор, кого раньше юкосизируют - Яндекс или АББИИ (но АББИИ, кажется, уже почти полностью эвакуировался). Публикация паролей (еще раз, украденных не у Яндекса, а у пользователей) - явная часть этой кампании, и не вижу, чему тут радоваться, если честно. Огорчен Вашим постом.

[igoriando.livejournal.com]

+1, просто еще один эпизод давления на компанию, которая одна из немногих вообще заслуживает уважения в .ру

[wenas-yakima.livejournal.com]

Коллаборционизм на полшишечки. Это все равно коллаборционизм.

Пора делать выбор. Тем более для работников яндекса он всегда есть. Уволиться и в гугл.

[john smith (from livejournal.com)]

> Нет никаких признаков утечки именно из Яндекса

Кроме количества украденного. Я, конечно, не верю, что яндекс хранит пароли плейнтекстом и в нехэшированном виде, но очевидно же что миллион паролей можно слить только нюхая очень близко к серверу. Например, сидя на сорме.

[ellio-jordah.livejournal.com]

Не "дебил", а Дима Анатолич Медведев - юзает только Яндекс-почту. "Скомпрометированы"? Какая-то калька с английского, кмк, в русском там должно быть другое слово.

[delox.livejournal.com]

Самым распространенным паролем, который использовали владельцы взломанных аккаунтов, стало сочетание цифр 123456, сообщается на сайте pastebin.com. Этот пароль использовали более 37 тысяч пользователей. Порядка 13 тысяч человек ограничились паролями 123456789, еще девять тысяч — 111111, а семь тысяч человек — qwerty.

[mancunian.livejournal.com]

1.2 миллиона не выходит как-то. Не говоря уже о том, что сколько-нибудь нормальный почтовый сервис (вроде гмыла) такие пароли просто не принял бы.

[benderskiy.livejournal.com]

яндекс наверняка тоже не принял бы

сейчас

не факт, что все эти аккаунты не были заброшены лет десять назад

[john smith (from livejournal.com)]

А какая разница-то?

Очевидно же что они не брутфорсом перебирали миллион паролей.

[drug-detei.livejournal.com]

И Mail.ru подтянулся, хе-хе:

http://www.novayagazeta.ru/news/1686752.html

[natfugl.livejournal.com]

Основная российская нармасса не видит проблемы в .ru и в том, что в их почте копаются чекисты - это же свои, родные чекисты.

[stronzium.livejournal.com]

То ли дело прекрасные американские чекисты, копающиеся в гмыле!

[ivory-mascot.livejournal.com]

Gmail тоже не удержался, меняйте агенду )

[mancunian.livejournal.com]

Где? Не вижу в новостях.

[ivory-mascot.livejournal.com]

Google it!

[grey-narn.livejournal.com]

http://lenta.ru/news/2014/09/10/gmail/

[mancunian.livejournal.com]

Нормальный источник, не русский же.

[grey-narn.livejournal.com]

Пока нет такого. По-английски везде добавляют allegedly и т.п.
Например, вот тут: http://www.ibtimes.co.uk/five-million-gmail-accounts-passwords-mostly-russia-based-users-leaked-online-1464808

Ну, ждут, чего скажут в Гугле. На реддите тоже уже обсуждают тему.

Ну а почему бы не быть такому? Фишинг же, ему все равно, каким именно сервисом юзер-лох пользуется (я сам такой же лох --- на требования безопасности плюю почти всегда, когда это не связано с номерами кредиток, хотя и знаю, что неправильно делаю). Вы же не думаете, что это Яндекс и мэйлру слили?

[mancunian.livejournal.com]

Я думаю, надо подождать официальной реакции.

[drweb.livejournal.com]

Вас же не смущает, что источник новостей по яндексу- русский? А тут по гмайлу смутил... Прям какие-то двойные стандарты...

[yurri.livejournal.com]

http://www.bbc.co.uk/news/technology-24821528
http://www.bbc.co.uk/news/technology-18338956
http://www.bbc.co.uk/news/technology-18358485
etc.