Have I Been Pwned diventa open-source! Sarà ancora più facile verificare le password compromesse

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...sse_98113.html

Con l'apertura del progetto sarà possibile per terze parti sfruttare API per la verifica di password compromesse. Inoltre al via una collaborazione con l'FBI per l'aggiornamento del database delle password violate

Click sul link per visualizzare la notizia.

[demon77]

Però sorge spontanea una questione che in molti hanno già sollevato..
Cioè.. di fatto tutti quanti consengnano volontariamente le loro password a questi tizi.
Mo' chi ci garantisce che questi qui non le raccolagano in un bel database da vendere..

[YetAnotherNewBie]

Ho letto velocemente l'articolo linkato nella new:
https://www.troyhunt.com/pwned-passw...-with-the-fbi/

Se ho capito bene, questi signori non raccolgono nel loro database la password in chiaro, ma solo la sua "firma" (la coppia di hash SHA-1 + NTLM).

[Crystal Dragon]

Originariamente inviato da demon77

Però sorge spontanea una questione che in molti hanno già sollevato..
Cioè.. di fatto tutti quanti consengnano volontariamente le loro password a questi tizi.
Mo' chi ci garantisce che questi qui non le raccolagano in un bel database da vendere..

Sono password compromesse, quindi già pubblicate da qualche parte, che senso avrebbe venderle?

[YetAnotherNewBie]

Originariamente inviato da Crystal Dragon

Sono password compromesse, quindi già pubblicate da qualche parte, che senso avrebbe venderle?

In realtà, l'obiezione di Demon è sensata: io non so se la mia password è compromessa, quindi la invio a loro per conferma; ma a questo punto hanno comunque la mia password, che sia stata compromessa oppure no.

La sicurezza dovrebbe consistere nel fatto che viaggiano solo le firme delle password.

[Crystal Dragon]

Originariamente inviato da YetAnotherNewBie

In realtà, l'obiezione di Demon è sensata: io non so se la mia password è compromessa, quindi la invio a loro per conferma; ma a questo punto hanno comunque la mia password, che sia stata compromessa oppure no.

La sicurezza dovrebbe consistere nel fatto che viaggiano solo le firme delle password.

Già prima che fosse open source c'era comunque la possibilità per i paranoici di scaricare tutto l'archivio e fare un lookup in locale (in questo caso tiri giù solo gli hash, perché alcune password compromesse contenevano dati personali). Poi ora che sarà open source si saprà esattamente cosa ne fanno (molto probabilmente nulla, non raccolgono le password inserite dagli utenti, ma quelle che vengono fuori dai vari breach).

[demon77]

Originariamente inviato da Crystal Dragon

Già prima che fosse open source c'era comunque la possibilità per i paranoici di scaricare tutto l'archivio e fare un lookup in locale (in questo caso tiri giù solo gli hash, perché alcune password compromesse contenevano dati personali). Poi ora che sarà open source si saprà esattamente cosa ne fanno (molto probabilmente nulla, non raccolgono le password inserite dagli utenti, ma quelle che vengono fuori dai vari breach).

IN TEORIA, amico mio. In teoria.

[Crystal Dragon]

Originariamente inviato da demon77

IN TEORIA, amico mio. In teoria.

Qua c'è spiegato come funzionano le API:
https://www.troyhunt.com/ive-just-la...yandkanonymity

In what proved to be very fortuitous timing, Junade Ali from Cloudflare reached out to me last month with an idea. They wanted to build a tool to search through Pwned Passwords V1 but to do so in a way that allowed external parties to use it and maintain anonymity. You see, the problem with my existing implementation was that whilst you could pass just a SHA-1 hash of the password, if it returned a hit and I was to take that and reverse it back to the clear (which I could easily do because I created the hashes in the first place!) I'd know the password. That made the service hard to justify sending real passwords to.

Junade's idea was different though; he proposed using a mathematical property called k-anonymity and within the scope of Pwned Passwords, it works like this: imagine if you wanted to check whether the password "P@ssw0rd" exists in the data set. (Incidentally, the hackers have worked out people do stuff like this. I know, it sucks. They're onto us.) The SHA-1 hash of that string is "21BD12DC183F740EE76F27B78EB39C8AD972A757" so what we're going to do is take just the first 5 characters, in this case that means "21BD1". That gets sent to the Pwned Passwords API and it responds with 475 hash suffixes (that is everything after "21BD1") and a count of how many times the original password has been seen....

...Using this model, someone searching the data set just gets back the hash suffixes and counts (everything in bold after the first 5 chars) and they can then see if everything after the first 5 chars of their hash matches any of the returned strings. Now keep in mind that as far as I'm concerned, the partial hash I was sent could be any one of 475 different possible values. Or it could be something totally different, I simply don't know and therein lies the anonymity value....

...As mentioned earlier, there are 475 hashes beginning with "21BD1", but only 1 which matches the remainder of the hash for "P@ssw0rd" and that record indicates that the password has previously been seen 47,205 times. And that's it - that's what I've done with Cloudflare's support and that's what we've done together to protect anonymity and make the service available to everyone.

Non solo non viene mai mandata la password in chiaro, ma con la nuova implementazione, neanche l'hash completo. Infatti con la vecchia implementazione, lo stesso sito sconsigliava di cercare le password attualmente utilizzate (perché faceva il look up usando tutto l'hash).

[El Roy]

Originariamente inviato da demon77

IN TEORIA, amico mio. In teoria.

Infatti, sono d'accordo con te. Se uno lo conosce bene sa che mai come in questo campo (della sicurezza informatica) è possibile tutto e il contrario di tutto...

[Crystal Dragon]

Originariamente inviato da El Roy

Infatti, sono d'accordo con te. Se uno lo conosce bene sa che mai come in questo campo (della sicurezza informatica) è possibile tutto e il contrario di tutto...

Dubito esista un metodo per risalire ad una password avendo solo 5 caratteri su 40 di un hash SHA-1. L'hash completo lo avete solo in locale, e viene confrontato con tutti gli hash presenti nel sistema che iniziano con quei 5 caratteri (anche uno in ascolto sul canale non saprebbe se c'è anche il vostro in mezzo, e chi è tra quelli). Neanche il sistema stesso saprà se voi ci siete o no nella risposta alla query...

[gsep2]

Beh anch'io sarei titubante nell'inserire la mia pass, ma a quel punto se uno è curioso e vuole sapere se la sua pass è presente in database online basta cambiarla dopo aver provato