Datorintrång eller stulet kundregister?

Låter du webbläsaren spara dina lösenord?

@DanMicke: Det faktum att Viasats kundtjänst påstår sig veta exakt varifrån någon loggat in (60 mil bort från dig) gör nog att man redan där kan dra slutsatsen att dom inte har nån koll utan förmodligen kör nån IP locate i tron att det skulle vara något det inte är.

Lösenord måste vara så komplicerade idag att det är i stort sett omöjligt att lära sig dem utantill om de skall tåla en attack från dess hash-summa (från läckta databaser) - vi pratar om maskinslumpade sekvenser på minst 12 tecken (när stora, små, siffror samt alla skrivbara symboler används i framslumpningen - reducerar man -> ännu fler tecken) och för windows minst 15 tecken.

Det händer än idag att databaser släpper ifrån sig passord/passfraser i klarspråk vid hack och då hjälper ingen, oavsett komplicerad passord, men idag så har man ändå lärt sig i de flesta fallen att hasha passorden - låt vara med en vek hash-algoritm som md5, SHA1 används betydligt mer och är betydligt starkare, men anses idag ändå otillräcklig och trots det ändå väldigt bra success-rate när det gäller att få fram bakomliggande passord. Databasläckage som är några år och 'mogna' som linkedin mfl. så har man knäckt 97-99.x% av alla passord och de som är kvar är dem med framslumpade passfraser tillräckligt långa och de som faktiskt använder helt maskinslumpade tillräckligt långa passord-serier - vilket är ganska få i praktiken...

Grinar du riktigt illa för en förslagen sekvens från en passordsgenerator och inser att du aldrig kommer att kunna lära dig utantill - ja då har du ett bra passord - för givetvis har de som hackar koll på vilka kombinationer och bokstavsföljder och annan inre logik som folk föredrar eller ratar om man har flera val av slumpade passord... och vi tenderar att välja den lättaste

Man har större sport att komma ihåg med passfraser - men med minst 6 ord med skiljetecken mellan orden och givetvis sekvensen maskingenererad eller framtagen med tärningar (se diceware) och bör användas restriktivt som tex. sin mailbox eller passordsmanager medans alla andra hanteras med slumpade passord via passords-manager, eller taget från kort och då förstås olika passord på varje stället för att en läcka skall få så lite genomslag som möjligt.

Försöker du hitta på något själv med din hjärna så är det du producerar i sekvens med så stora hål och svagheter att dessa relativt lätt kan hackas fram med algoritmer, statistik etc. som hela tiden förfinas av varje ny stor databasläcka - vi är inte så påhittiga som vi tror...

---

Själv använder jag https://www.passwordcard.org/en för slumpsekvenser och har en inplastad lapp i plånkan (fler faktiskt) och det har faktiskt fungerat riktigt bra under åren

https://www.rempe.us/diceware/#swedish för passfraser och på samma sätt gjort kreditstor kort inplastad. - är det kinkigt så lägger man till i sin passord/fras en sekvens/ord som inte finns med på korten - där kan det vara den som du alltid har haft - typ.

plånkan är bra för sådana saker då de flesta håller noga reda på denna och när det är borttappat eller tveksam vistelse på annat sätt så vet man att dessa är troligen röjda och man får göra nytt.

jag tar alltid ut koderna från korten även vid användning mot passordmanager så att man har möjlighet även om man inte kan använda passordmanager som kanske inte finns på alla sina enheter eller är 'upplärda' ännu.

För konton där det inte är särskilt noga tycker jag inte man behöver överdriva med komplicerade lösenord, så länge man ser till att använda olika på alla ställen.

För de mer kritiska och känsliga är det ju bra med långa och komplicerade.

Om man bara knackar fram nåt långt som Go18bs%/d+sjp2vYqbv!#&?c0b3kOPP12t8bdL+jkTs0=%kd0ulAFs78723&/)2n lär ingen knäcka det i första taget.

knacka 'slumpmässigt' på tangentbord är ingen bra ide - det är väldigt långt ifrån slump iomed att vi gärna föredrar tangenterna nära kring den vi nyss slog eller kör 'procedurer/vandringar' vilket är lätt identifierbart när det sker på en querty-tangentbord

wannacrys icke existerande domän som när den aktiverades/registrerades var en kill-switch för viruset.

Där såg man med analys att det var inte så slumpmässigt som den försökte se ut som i koden och såg att statistiskt så användes övre högra tangentbordet mest - alltså en människa som bankade på tangentbordet... - och det här gick fort att komma fram till för dem som vet hur man gör...

Är det sant framslumpat tecken och symbolsekvens så behöver man inte mer än 12-15 tecken... - men det är också sant att längden på sekvensen är kung och går man från 12 till 16 slumpade tecken och symbolers i sekvens eller från 6 till 8 ord så ökar hacktiden från ca 3000 år till 15 ggr universums livstid om angreppet görs med 1000 miljarder tester i sekunden...

när man är 16 tecken och högre och 8 ord och högre så är det inte själva passordet som är begränsningen längre - utan bakomliggande hash-algoritms stryka och tillräcklig längd på hash-summan. SHA1 har 160 bit (80-bitars styrka) är i ungefär samma nivå som 12-teckens slumpmässig tecken och symbol-sekvens. Problemet med SHA1 är att man hittat 'sprickor' i systemet - dvs. sekvenser som aldrig kommer att ges oavsett indata och är tillräckligt ofta för att i dag vara reducerad till ca 62-64 bit styrka beroende vem man frågar - och istället för 3000 år så kan man göra lyckad angrepp på bara ett antal månader.

samma kan hittas i SHA256 och SHA512 (128 resp 256 bit styrka) - men det vet man ännu inte idag och därför redan idag letar man efter andra alternativ som kan bevisas på något sätt är bättre och förstås med hänsyn till CPU-kostnad att räkna fram det.

Jag anser att man får skilja på riktade attacker där man försöker knäcka ett enda lösenord/konto, och en avkodning av en hel databas med lösenord. I det förra fallet krävs starkare saker för att stå emot.

Riktade attacker mot web-siter och specifika användare kan ofta mitigeras med att spärra IP mm efter ett visst antal försök, två-faktor inloggning etc. Problemet är dom hackade och läckta databaser med användarnamn, kontonamn, email-adress och förhoppningsvis en saltad hash-summa av passordet (passord i klarspråk har förekommit allt för ofta tyvärr, även osaltad hash eller samma salt på alla och att man inte använder sig av keystretching).

För i dom fallen har man hur mycket tid man har lust med i angreppet och kort sagt ser var de kan skrapa ihop i användare efter en viss tids instats beräkningmässigt - de lågt hängande frukterna (läs lätta passord) tas givetvis först... - så en strategi är att inte vara någon av de lågt hägnade frukterna med tillräckligt slumpmässiga och långa passord/passfraser.

med tanke på att tex linkedin är lösenordsåtervunnen från hash-summorna till över 97% så är det ett problem - vilket också gör riktad attack mot en viss användare/konton som man vet existerar på annan håll och hoppas på att det är samma passord - faktiskt har en stor chans att lyckas om man knäcker över 97% generellt över hela databasen.

Det enda skyddet är att ha just 'svår' och tillräckligt lång passord/passfras och tillhöra dom 0.5 -3% i den läckta databasen som man ger upp på även efter lång angreppstid

Att använda antivirus är en bra vana, men det är inte en universallösning utan en del av ett säkerhetstänk. Vad har du för router t.ex.? Är den uppdaterad? Använder du ett säkert lösenord på den? Undviker du osäkra protokoll, t.ex. HTTP, telnet och FTP? Använder du VPN för ökad säkerhet? Har du långa och säkra lösenord? Kör du uppdaterade versioner av Windows?

Jag menar inte att din router eller dator är hackad, men din internettrafik passerar en mängd olika enheter på sin väg mellan dig och den sida/tjänst du använder.

Men för lösenord man använder personligen, hemma, så är det inget fel alls med att ha dem nerskrivna på ett papper som man förvarar undanskymt. Sannolikheten för att du ska få ett fysiskt intrång i din bostad, av nån som vill åt dina lösenord, är astronomiskt mycket lägre än att nån knäcker ett som du kan komma ihåg i huvudet.

Jag skulle nog ändå säga att det är viktigast av allt att inte använda samma eller liknande lösenord på flera ställen. Följer man den principen har man kommit väldigt långt, för då betyder ett knäckt lösenord bara att man har fått ett knäckt. Återanvänder man så riskerar många av ens konton att bli knäckta, särskilt om lösenordet kan knytas till en identitet eller en mejladress.

Har du använt lösenordet på flera ställen?

Förstår inte poängen med tråden.

Har du använt lösenordet på flera sidor/ställen finns det flera olika sätt det kan ha hamnat på vift, att någon skulle kört brute-force på Viaplay kan vi nog utesluta.

kolla haveibeenpwned.com ange din mailadress där så ser du vart du blvit av med uppgifterna någonstans

Breaches betyder att din mail-adress tillsammans med användarnamn/kontonamn _och_ ditt passord i förhoppningsvis i unikt saltad hashad form [1] har kommit ut i det fria - dvs darknet/darkwebb till försäljning i någon moment.

Det är kopplingen användare/email-adress och passordet som har ett värde för köparna av listorna till en början - inte passordet löst i någon allmän lista.

Hur man kolla sitt passord anonymt och utan att avslöja för mycket av dem till kollande part (läs haveibeenpwned) så kan du göra enligt proceduren i inlägget: #17502437

Vill man inte alls avslöja något av sina passorden över internet ens som mindre bitar av hash-sekvenser så kan man ladda hem hela hashlistan själv (var ca 33 GB stor sist) och se själv om SHA1 summan av sitt passord finns i listan (och i hur många instanser hittade i olika läckage)

Hittar du något där så är din passord läckt eller någon annan använt samma och dessutom finns i klarspråk och är kopplad till en gång giltiga och kanske fortfarande giltiga konto och email-adresser (inte nödvändigtvis ditt - men att någon mer har samma passord än du själv är illa nog och man behöver vara ganska kreativ idag för att lyckas skapa en 8-10 teckens passord med bara huvudet och som inte redan finns i klartext i passordslistan - eller som ibland benämns som doomsday-book där ingenting glöms någonsin när det gäller passord i klarspråk) och återvänder du samma passord på fler ställen så blir det att börja byta och se till att var och en blir unik.

[1] men kan senare ha blivit knäckt i en attack med riggar motsvarande de man använder för BCT - det är många som pysslar med sådant för att kolla hur bra riggarna fungerar... och listor av hashar översatta till klarspråk i "hash == klarspråk"-par kan bl.a hämtas hos www.hashes.org mfl.

'porrsurfavslöjarmailen' handlar det inte om i just denna tråd - men metodiken som används för utpressarmailen med knäckta passord som validerar hoten till större trovärdighet kan givetvis användas för andra aktiviteter och rentav inbrott i olika konton och tom. datorer av just vanan att folk använder samma eller vanligt förekommande passord på olika ställen.

Det var precis i början de ibland skickade med exempel på användares lösenord i klartext och skrämmer ut skiten ur dem med det - men de insåg snabbt att det räckte med bara påstående (och att emailen ser att skickats från egna burken) utan bevis för att skrämma tillräckligt många ändå för att verksamheten skulle fortsätta vara lönsam.

Känns som att det spårar både åt vänster och höger här.

Känns som vi måste ha grundproblemet i åtanke: någon loggar in på ts Viaplay, aktiverar kontot och kollar på Seinfeld. Kanske/antagligen från Sverige.

Kanske missade detta i tråden. Men hade du ett unikt lösen på Viaplay som du aldrig använt tidigare?

Tycker det känns som det antingen finns någon förklaring som inte alls handlar om dataintrång. Eller någon som kommit över en databas med din Mail och ett lösen som även används på ditt konto som någon bara slumpmässigt valt ut dig för att kolla om det funkar som Viaplay login.
Skickades från m.sweclockers.com