Granskning av den släppta Flashback-dumpen

Hej!

Jag förstår att många är fundersamma vad detta är för dump som släppts ut och vad den innebär. Jag tänkte granska dumpen och försöka förstå vad det är för slags dump vi har att göra med. Jag börjar med att säga att jag har gått igenom alla 40.000 e-postadresser och sett hur många som är kopplade till ett konto här på Flashback.


Vi kan väl börja med att se hur många som är för närvarande kopplade till ett Flashback-konto:
(jag väljer att inte publicera koden som jag använde för att utföra detta test)

Detta betyder att 23098 av 40269 e-postadresser som fanns med i Piscatus-dumpen finns kopplade till ett Flashback-konto för närvarande. Resterande 17171 behöver inte vara värdelösa, det kan helt enkelt vara så att att en hel del bytt e-postadress. 17171 är en stor siffra, men det kan vara så att dumpen är gammal, vi kollar vidare på det!

Vi kan väl se hur många egenregistrerade domäner som finns med i dumpen. Så vi tar bort de här typiska emailleverantörerna:
Okej, nu börjar vi komma någonstans! 6528 e-postadresser som inte tillhör typiska emailleverantörer. Vi ska nu plocka ut alla .SE-TLDs och se när de registrerades för första gången.


Nu är vi på bra väg! Nu har vi alltså äntligen lite data att arbeta med. Vi har 1461 styck .se-hemsidor som finns i Flashback-dumpen. Vi kan loopa igenom alla dessa och se när de registrerades för första gången nu, då får vi ett hum om när dumpen kan komma ifrån!


Ojoj, intressant! Verkar vara rätt gamla domäner detta! Nu har jag förvisso inte publicerat alla dessa 1461 domäners datum, men ovanstående ger en bra representation utav hela resultatet i sin helhet.

Som ni ser så finns det en från 2013, finns dessutom någon från 2014 och 2015. Skumt kan tyckas, det innebär väl att domänen skapades för första gången?

Nej. Jag är inte expert på domäner, men som jag har förstått det så kommer "Created"-datumet att uppdateras om man köper om domnen på nytt. Nu behöver jag förvisso inte gissa mig till detta så det finns system som håller koll på whois-historik. Så i detta fall skapades domänen år 2008 för första gången. Hemsidan jag använde mig var whois.sc/ som skriver ut "Whois History".

Okej, nu vet vi lite mer om dumpen och dess datum. Snittet för skapade domäner ligger runt 2004. Hade dumpen varit ny, dvs från 2013 och framåt så skulle iaf minst en domän varit registrerad efter 2009, det tycker jag!



17171? 17171?!?

Sjutton tusen e-postadresser är inte kopplade till ett Flashback-konto. Det är väldigt många, speciellt från en dump på 40.000. Men varför är siffran så stor?

1. Användare byter e-post mellan varven. Domäner dör ut så man måste byta till en giltig.
2. Om dumpen är gammal(2007:ish) så har användare haft minst 5 år på sig att byta mail.
3. OPSEC - varför länka sitt anonyma konto till en personlig hemsida?

Ang. punkt ett så kan vi ju verifiera detta genom att kolla på alla svenska domäner som inte fanns kopplade till ett konto, sedan kollar vi om domänen är aktiv.


Vad jag nu gjort är att jag sorterat ut alla domäner som inte är kopplade till en Flashback-profil, sedan har jag kollat upp den domänens MX(ett DNS-värde som talar om vart alla mail ska skickas. Har en domän en giltig MX så kan domänen ta emot mail). Jag kollar enbart domänens första MX-record. Resultatet blev 647 giltiga MX-records på hela 753 styck.

Hmm, där rök vår teori nummer ett, domänerna är inte direkt döda. Det sitter alltså användare som använt sina personliga domäner för att regga ett konto på Flashback men sen aldrig brytt sig om att byta mail. Om dumpen är gammal(vilket jag tror baserat på ovanstående info) så säger detta egentligen mer om hur Flashbackare tänker. Det är alltså inte vanligt att byta mail på sitt konto, man sitter i flera år med samma mail kopplad till sin profil här på Flashback.


Vanliga frågor

F: Är det sant att det från början var användarnamn i dumpen?
S: Nej, enbart personnummer och e-postadresser.

F: Är det sant att alla personnummer rördes runt för att gör dumpen mer "anonym"?
S: Nej, den var så när den kom ut från Piscatus. Dock är det bekräftat att ordningen är fel.

F: Hur hackades Piscatus.se?
S: Simpel error-based SQL-injektion.



Sammanfattning och slutord

Vi vet fortfarande ingenting, men vi kanske har lite mer att gå på vilket kan vara lugnande. Baserat på det jag tagit fram så tycks dumpen vara gammal, runt 2006-2008, inte bara domänernas startdatum tyder på detta utan att hela 17.000 Flashback-användare av 40.000 har någon gång bytt sin email och rent matematiskt så är det så att risken ökar med tiden att en användare ska byta mail.

Oavsett så tycks Flashbackare vara dåliga på att byta sin e-post. Det är fortfarande 23.000 bekräftade e-postadresser som är kopplade till ett konto, om nu dumpen är gammal så bekräftar detta min teori.

Jag tycker det är viktigt att lyfta fram att oavsett om dumpen finns eller inte, eller om RG har den eller ej så ska man veta att det är möjligt att ta reda på identiteter utan någon databas. Jag har bevisat att det går, även fast metoden var långsökt så var det något att gå på.

Personligen så tycker jag absolut att detta delvis är Flashbacks ansvar. Sätten man kan använda en databas för att filtrera ut de som är intressanta har aldrig riktigt setts över. Absolut går detta att göra på de flesta forum, men eftersom Flashback ska erbjuda anonymitet så behöver man se över saker som dessa.


Diskussionsunderlag:
Tror ni dumpen kommer från riktiga Flashback?
När tror ni den är ifrån?
Vems tekniska ansvar är detta, användarens eller Flashbacks? <-- Intressant fråga!
Övriga frågor eller synpunkter?

Den är förmodligen ifrån 2008-2010 då alla inlägg som tas upp är skrivna ur den perioden.

Bra analys. Frågan är om det som läckte är allt de har eller är detta bara ett subset.

Jag kan bekräfta att dumpen med största sannolikhet är från 2008, en av mina gamla emailadresser fanns med, och det var ca. 7 år sedan jag använde den på Flashback.

Min gamla emailadress finns med som jag bytte 2007-2008 nån gång. Kanske 2008. Kommer ej ihåg exakt då det är så länge sedan. Min gissning har varit att den är från sent 2006 tidigt 2007. Men dumpen innehåller säkert andra mejladresser som RG fått på konventionellt hackarvis också så det kan luras lite.

Det är en jävla stor del av adresserna som inte är kopplade till nåt konto.

Ändrar folk verkligen mailadress så ofta/mycket efter de väl reggat sig?
Iofs möjligt att många ändrat senaste halvåret efter det började snackas mer om den där dumpen.


Inte för att det spelar nån större roll kanske, men varför bara kolla registreringsdatum på .se-domäner?

Så vadå, om man byter epost-adress på sitt konto, Då blir man anonym igen?

Den är från mellan 2006-06 och 2008-06/07

(Skapade ett konto då som jag sedan tappade pga hack).

Cluttan, tror du att det i dagsläget finns hål i Flashback som är så pass allvarliga att rätt person bara kan plocka hela databasen om denne känner för det?

Varför har inte admin och teknikerna gjort något sånt här BTW?

För mig känns det ganska givet att FBs databas har läckts på ett eller annat sätt. Jag menar, vilka andra teorier har det kommit upp? Troligen körde RG en koll med CDON som läckte ut ett par år sedan.

Nu till det roliga, hur kan outningarna ha skett?

1.Ingen läcka från Flashback har skett, RG har bara lagt pussel med inläggen de skrivit och gjort en databas av det hela
Den här teorin är den som admin ger oss, förklaringen till det är vad jag kan se att det inte finns något bevis för motsatsen. Loggarna på Flashback visar inget intrång, eller liknande. Det intressanta är att admin verkligen inte verkar ha lust eller ork att köra vidare på det här spåret, utan väljer istället att sjunka tillbaka ner i soffan och fortsätta kolla på Sveriges Mästerkock. Det han gett oss än så länge är ett meddelande i stil med "Aaaah, jag tror inte på att den läckts." även om det är skrämmande många i läckan som är registrerad här med den mejlen just nu.

2.Databasen är bara 100% påhitt
Möjligheten finns ju att någon helt enkelt bara satte sig ner och sket fram en massa mejladresser i hopp om att dessa skulle finnas med på Flashback. Det går ju, på grund av svagheter, att kolla upp detta. De har kanske lyckats outa ett tiotal på ett eller annat sätt. Tips från personer som känner de outade, eller vad vet jag?

3. Flashback har hackats, men admin vet inte om det
Det här är den teori jag själv tror på. Chloe har som ni kanske känner till redan hittat flera svagheter i Flashback, dock vad jag vet ingen som gör att du kan få fram vilken mejladress som är kopplad till ett konto. Reality check! Sony har blivit hackat flera gånger. Det finns hackare där ute som är så otroligt bra på vad de gör att det nästan är sorgligt vad lite allmänheten vet om vad dessa personer gör. Det enda som krävs är att RG fått kontakt med en enda riktigt duktig hackare, och erbjudit denna en tillräckligt stor check. Eller så sätter du 10 högst mediokra hackare i ett rum i flera månader och väntar på att dessa listar ut ett sätt att hacka Flashback. Det är ju trots allt bekräftat att vissa hål (t.ex. att man kan se om någon är registrerad på Flashback genom att försöka återställa lösenordet på en mejl) funnits på Flashback i fler år utan att admin brydde sig. Chloe var knappast först med att rapportera det, om man säger så.

4.Flashback har hackats, och admin vet om det.
En intressant teori är att Jan Axelsson släpade sig upp ur sängen på morgonen för ett tag sedan och efter att ha läst Aftonblaskan inser han att hans guldfågel är i fara. För att försvara sin moneymaker ringer han då upp admin och kväker tillsammans med gårdagens vodka ur sig "Jävla skit Hjalmar, har du sett Aftonlögnen idag?" "Ja, vad fan gör vi?" "Vi skiter i det bara, det finns inga bevis just nu ändå förutom loggarna. Radera dem så löser det sig!"(PS. Hjalmar är ett fiktivt namn. Ingen outning menad) vilket leder till att de båda kommer på planen att bara blåneka det hela. De vet ju mycket väl att RG inte kommer försöka bevisa det på något sätt. Jan Axelsson sjunker ner i soffan och går tillbaka till Top Model.

Jag tror på teori 1.

Ja. Delar av den. Sedan finns säkert en del "luft" i dumpen också. Man vill säkert av psykologiska skäl att antalet hackade konton skall se större ut än det är.
Min gissning: 2006-2007
Ytterst är det ju förstås du som har ansvaret att ha en anonym icke spårbar mailadress och att inte avslöja för mycket om dig själv.

Lite svagt dock av admin och tekniker att inte ge sina synpunkter på dumpen. Det borde lätt att gå att kontrollera om den är riktig genom att matcha mailadresser med användarnamn då mailadreserna är sorterade i bokstavsordning av användarnamnen. Genom placeringen kan man då konstatera, vilket många verkar ha gjort, att ens mailadress ligger i "alfabetsordning" (heter du Örjan på Flashback borde din mailadress ligga bland dom 1-2000 sista adresserna)
Kommentarer från admin/tekniker om vad man borde göra för att garantera anonymitet med detta hack i åtanke. Så att ingen skall hitta dina pinsamma fyllekommentarer.

Bara en övrig synpunkt. Tack så mycket. Har lärt mig massor bara av inläggen du skrivit om stasi-hacket. Stort tack!

Det kanske har behandlats i andra trådar, men ifall man hackar en databas, kan det vara möjligt att man endast har tillgång till information från en bestämd tidsperiod?

Ifall hela databasen rent teoretiskt borde vara komplett med alla användare med registreringsdatum upp till datumet för hacket, varför är teorin att de endast har tillgång till databasen från exempelvis 2006-2007?

Edit: Jag tror att listade ut det själv...