Miljontals lösenord till Facebook, Netflix mfl har läckt

Har varken sett någon info om att facebook, spotify, netflix haft några dataintrång i systemen. Mycket av infon som kommit ut är för att folk haft något malware på datorn/mobilen som läckt typ alla lösenord och annat.

Så vems är felet då? Tja... 🙃

Låter som en phishing-attack där korkade användare har lurats att gå till siter som ser ut som Facebook, spotify etc. och att de där har skrivit in sitt lösen. Men journalisterna är så korkade att de inte klarar av att redovisa vad som faktiskt har hänt.

Pratade med Netflix kundtjänst nu som gissar att det skett via mejlen och sen gått in på Netflix och startat abonnemanget igrn den 19/1. Ungefär då min mejl låstes.

Varför kommer sms:en vid tvåfaktorsautentiseringen på Facebook från ett helt vanligt mobilnummer?

Vart hittar man läckan då? Så man kan kolla om ens familj finns med.

Fast saltet betraktas inte som en hemlighet - det kan med fördel inkluderas i klartext i databasen tillsammans med hashen, eller vara genererat från ex. användarnamnet. Vanligt är väl typ "<hash>:<salt>". Poängen med saltet är inte att det ska vara hemligt, utan att två användare med samma lösenord inte har samma hash.

Annars hade det varit trivialt att hitta alla med "vinter24" som lösenord exempelvis - bara hasha "vinter24" med samma algorithm som använts i databasen, sedan söka fram alla rader som har samma hash. Gör likadant med de 10000 vanligaste lösenorden så har du fått fram de flestas användarnamn+lösen -kombo.

Har varje rad ett eget salt så funkar inte det, ingen hash kommer vara den andra lik även om alla har "vinter24" som lösenord. Men saltet behöver som sagt inte vara hemligt. Lösenordshantering 101.

Nu ändrade jag mitt Paypal lösenord. Finns det andra viktiga hemsidor som har blivit hackade eller är det bara Netflix och facebook?

Helt korrekt, det är rätt vanligt att folk använder enkla funktioner såsom time() i epoch för att generera salt.
Ska man vara petig så helst ska du väl ha nåt helt random med bra entropi vilket time() inte ger dig, men det är ändå fan så mycket bättre än att köra samma salt överallt.

Skönt att se nån som faktiskt vet vad dom pratar om på FB, händer tyvärr inte ofta.

Det finns ju många publika paket som skapar detta så man behöver inte bygga sådana funktioner själv.

Ja randomness generators. 😎